Vai jums joprojām vajag VPN, ja izmantojat Identity-Aware Proxy?

Pieņēmums ir šāds: tiklīdz internō īsprogrammu priekšā nostājas identitāti pazīstošs starpniekserveris, VPN ir tikai rotājums un klients var iet. Tas attiecas uz vienu šauru gadījumu, interaktīvu HTTPS lietotni, ko cilvēks lieto pārlūkprogrammā, un tas klusi neizdodas visur citur. Starpniekserveris autorizē pieprasījumu pret resursu; VPN ielaiž klientu tīkla apgabalā, un šīs divas robežas reti sakrīt. Pirms atteikties no tuneļa, salīdziniet operācijas, ko jūsu cilvēki patiešām veic, nevis produkta etiķetes diagrammā.

Divas vārtu sistēmas autorizē dažādas lietas

Lietotnes vārti izlemj, vai šis pieprasījums no šīs identitātes var sasniegt šo aizsargāto resursu. Google Identity-Aware Proxy pārskats apraksta tieši šādu formu: centrāls autorizācijas slānis HTTPS lietotņu priekšā, ko vada IAM loma. Robeža ir resurss, un piekļuves vienība ir pieprasījums. Maršrutēts VPN dara ko rupjāku un plašāku: ielaiž klientu noteiktā tīkla apgabalā, un pēc tam lietotne joprojām izlemj, ko šis klients drīkst darīt.

Neviens modelis neietver otru. Iet caur vārtiem neko nepasaka par konkrēta ieraksta lasīšanu, un būt tīklā neko nepasaka par atļauju rīkoties.

Ko starpniekserveris neaptver, bet VPN aptver

SSH sesijas, datubāžu klienti, ziņojumu brokeri un iekšējie resursdatoru nosaukumi, ko neviena pārlūkprogramma nekad neatver, nekļūst sasniedzami tikai tāpēc, ka pastāv tīmekļa starpniekserveris. Katrs runā savā protokolā, un katram vajag vai nu savu autentificēto ceļu, vai tīklu, kas to nes. Tā ir plaisa, ko cilvēki atklā migrācijas pirmajā dienā, parasti no dežūrējoša inžiniera, kura klēpjdatora vairs nevar atrisināt resursdatora nosaukumu.

Pretējā plaisa ir tikpat reāla. VPN, kas ielaiž klientu apakštīklā, neautentificē tajā esošo cilvēku, un šajā apakštīklā kompromitēta ierīce pārņem visu, ko tīkls atļauj. Ja prasība ir autorizācija katram pieprasījumam ar auditējamu identitāti, tikai maršrutēšana to nevar radīt. Vairums organizāciju galu galā lieto abus, un interesantais jautājums ir, kuriem resursiem katrs drīkst stāvēt priekšā.

Klienta darbplūsma nosaka vairāk nekā arhitektūras diagramma

Pieteikšanās pārlūkprogrammā ar pāradresēšanu un laiku pa laikam MFA izaicinājumu ir laba pieredze cilvēkam, kas noklikšķina grāmatzīmi. Cron uzdevumam, CLI vai būvēšanas aģentam nav pārlūkprogrammas un tas nevar atbildēt uz interaktīvu uzvedni, tāpēc tam vajag dokumentētu neinteraktīvu ceļu vai tuneli. Šīs prasības atklāšana parasti notiek pēc dizaina apstiprināšanas.

Saskaitiet klientus pirms lietotņu skaitīšanas. Viens informācijas panelis var apkalpot simts cilvēku; viens datubāzes ports var bloķēt visu komandu.

Ierībces stāvoklis nav nevienu vārtu īpašība

VPN klienta instalēšana nav atbilstības pārbaude, un pārlūkprogrammā balstīts dizains nav automātiski nespējīgs ievērot pārvaldīto ierīču politiku. Abi var integrēties ar stāvokļa signāliem, un abus var ieviest bez tiem. Jautājiet, kāda izpilde pastāv, kam pieder politika un kas notiek ar ierīci, kas to neizpilda, nevis seciniet to no produkta formas.

Tā pati piesardzība attiecas uz piekļuves noņemšanu. Grupas dalības dzēšana starpniekserverī un sertifikāta atsaukšana tunelim ir dažādas operācijas ar dažādu aizturi, un vienu no tām parasti aizmirst aizejot.

Atrodiet alternatīvos ceļus, pirms no kā atsakāties

Neaizsargāta izcelsme aiz starpniekservera, otrs resursdatora nosaukums, kas to apiet, vai plašs privāts maršruts no iepriekšēja dizaina izlems, kuri vārti patiešām ir spēkā. Pārbaudiet atļauto un aizliegto operāciju caur īsto klientu, nevis konsoli, un pārbaudiet tās no ierībces, kas nekad nav reģistrēta. Aizliegtais gadījums ir tas, kas pasaka, vai vārti vispār kaut ko dara.

Pēc tam uzrakstiet nodošanu: reģistrāciju, atjauninājumus, piekļuves noņemšanu un atjaunošanas ceļu tam, kurš 2 naktī ir aizslēgts ārpusē. Uzvednes vai klienta lietotnes noņemšana pārvieto atbildību starp komandām; tā atbildību neizdzēš.

Ja izlemjat šonedēņ, sāciet ar operāciju sarakstu, nevis produktu sarakstu, atzīmējiet, ko var izpildīt pārlūkprogramma, un ļaujiet pārējiem pamatot to tīkla piekļuvi, kas paliek.