VPN со повеќе закупци: заеднички портал, по закупец или по домаќин
Тунелот не е изолација на закупци. Споредете заеднички портал, портали по закупец и врски по домаќин по мапирање на идентитет, рутирање и повлекување.
Одлучете кој прима клиент и што го спречува тој клиент да стигне до ресурсите на друг закупец. Тоа се две одлуки, а изборот на IPsec, WireGuard или mesh производ не одговара на ниту една. Тунел што се крева беспрекорно сепак може да го остави секој закупец способен да стигне до секој друг, а прегледот што ги третира двете како исто го одобрува погрешниот дизајн. Прво напишете ја картата клиент-кон-ресурс: администратори, пристап за поддршка, заеднички услуги и патеките што мораат да останат забранети.
Започнете со картата, не со производот
Таа карта е првиот артефакт, и секој избор подолу е само одлука каде живее границата што го спроведува. Држете ја прегледна: еден ред по клиент, еден ред по заедничка услуга и забранетите патеки испишани.
Карта што никој не може да ја прочита е карта што никој нема да ја спроведе.
Една точка на прием и нејзиниот проблем со мапирање
Секое поставување го одлучува едно оперативно прашање, а табелата е целата споредба.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Заедничкиот портал го централизира приемот и го концентрира ризикот на едно место: врската меѓу идентитетот на закупецот и неговата политика. Групите или адресите на тунелот мора да се разрешат во точните дозволи за ресурси, а различна ознака по клиент сама по себе ништо не спречува. Одделните контексти на рутирање можат да држат преклопени префикси кога платформата го поддржува и дизајнот е целосен. Обична заедничка табела за рутирање не може да разликува два идентични префикса на одредиште само затоа што луѓето зад нив имаат различни сметки.
Тоа е тестот за повеќето дизајни. Два закупци што внатрешно нумерираат со 10.0.0.0/8 имаат потреба од одделена рутирачка состојба, не од конвенција за именување.
Портал по закупец купува граници и системи
Еден портал по клиент прави некои административни граници лесни за објаснување, бидејќи приемот и политиката за тој клиент стојат заедно. Тој исто така ги умножува системите на кои им требаат акредитиви, закрпи, мониторинг и сопственик. И не наметнува еден пропишан распоред на јавни адреси: споделувањето крајни точки, преводот и демултиплексирањето на протоколи зависат од тоа што имплементацијата навистина го поддржува.
Избројте ги системите и луѓето пред да ја изброите безбедносната добивка. Дизајн со четири портали повеќе отколку што тимот може да закрпи во практиката не е поизолиран.
Ако бројот на закупци се менува секој месец, тој модел бара приказна за автоматизација, а не шаблон.
Врските по домаќин го преместуваат работата
Врска на секоја хостирана машина не ја отстранува оперативната работа, туку ја преместува во животниот циклус на машината. Запишувањето, политиката по машина, ротацијата на клучеви и замената стануваат дел од обезбедувањето и тие пропаѓаат во истиот прозорец како самата машина. За неколку долговечни домаќини на различни мрежи тоа е често точно, а за флота што веќе ја загубила претставата која слика каде работи, ретко.
Именувајте улога за издавање идентитет, ажурирања, отстранување пристап, мониторинг и обновување при секоја опција. Потоа прашајте што се случува во денот кога еден клиент ќе замине.
Повлекувањето припаѓа во споредбата
Повеќето споредби го прескокнуваат повлекувањето. Отстранувањето на закупец треба да ги поништи неговите акредитиви, да ја отфрли неговата политика, да ги ослободи неговите адреси и рутирачката состојба и да ги остави сите други недопрени. Насоките на NIST за архитектура со нулта доверба се вистинската референца овде, затоа што проверката и авторизацијата ги ставаат на ресурсот наместо да веруваат на мрежна позиција, и тоа важи и внатре во сопствениот сегмент на клиентот.
Мерете ги дозволените и забранетите текови, справувањето со преклопени адреси и постапката за повлекување пред да ги мерете протоколните показатели. Потоа изберете транспорт и метод на проверка што одговараат на избраната граница. Постаро име на производ, или тврдење дека секој бизнис мора да се стандардизира на еден протокол, не решава ништо од тоа. Картата што прва ја напишавте го решава.