Дали ви е уште потребен VPN за локацијата кога апликацијата користи mTLS и SSO?
Поминете ги каналите што најавата во апликацијата никогаш не ги покрива, потоа одлучете дали пристапот до приватната мрежа е излишен или е единствениот пат до домаќинот.
Се најавувате преку mTLS, контролната табла се вчитува, а тврдењето дека VPN-от за локацијата сега е излишен звучи разумно отприлика дотогаш додека во два часот по полноќ не ви затреба враќање на база на податоци. TLS границата на апликацијата опишува само еден канал. Домаќинот, базата на податоци, целта за резервни копии и облачниот профил секој носи своја влезна патека, свој идентитет и свој одобрувач, и ниту еден од нив не се проверува со успешна најава.
Одете нанадвор од екранот за најава
Најавете се како обичен корисник и запишете го секој чекор што го допира барањето: прелистувач, раб, слушател на апликацијата, складиште на сесии, backend API. Секој чекор има сопственик и одлука за автентикација. Сега повторете го одењето за човекот што го крпи домаќинот и за задачата што ја пишува ноќната резервна копија. Тие патеки обично се разделуваат уште на првиот чекор.
Токму тоа разделување е прашањето што вреди да се одговори. VPN-от за локацијата е излишен само кога секој канал во тоа второ одење има влезна и авторизациска политика што стои сама за себе.
Пет канали што најавата во апликацијата никогаш не ги покрива
Табелата подолу е шаблон за попис, а не контролна листа за распоредување. Пополнете ја втората колона со она што вашата околина денес навистина го спроведува.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Споделувањето на еден давател на идентитет не ги спојува овие авторизации. Корисникот што смее да испрати API барање со тоа не е овластен да замени диск на виртуелна машина ниту да врати база на податоци со акредитивите на апликацијата. NIST во резимето на архитектурата на нулта доверба токму поради оваа причина автентикацијата и авторизацијата на ресурсите ги држи одвоени од мрежната местоположба.
Инженерот за поддршка што може да прочита тикет со тоа не е овластен да отвори конзола на домаќинот зад него.
Патеката е вистинска само ако алтернативата остане затворена
Ограничувањето на достапноста на приватни административни слушатели е легитимна замена за VPN за локацијата, под услов ограничувањето да се спроведува, а не само да се црта. Обичниот неуспех е алтернативен слушател што никој не го запомнил: услуга уште врзана за сите интерфејси, правило во безбедносна група отворено за изведувач, управувачки порт достапен од интернет.
Проверувајте слушатели, а не дијаграми. На домаќинот наведете што е навистина врзано со ss -ltnp и потврдете дека административните портови се на приватна адреса. Во облачната конзола прочитајте ги влезните правила за подмрежата на работното оптоварување и побарајте 0.0.0.0/0 на сето административно. Потоа пробајте го поврзувањето од надвор од приватната патека, зашто токму тој тест одговара на прашањето.
Едно единствено правило отворено за целиот свет на SSH ги поништува сите аргументи на дизајнот на тунелот.
Напишете ја картата пред да ги споредите дизајните
За секој ред од пописот запишете кој одобрува идентитети, кој ги ажурира правилата за пристап, кој ги отстранува акредитивите кога некој заминува и кој се грижи за враќање кога самата патека се крши. Четири имиња по ред се доволни за да се откријат редовите каде одговорот е заеднички профил и вики страница стара три години.
Потоа проверете една дозвола и едно одбивање за секој канал. Дозволата докажува дека предвидениот идентитет може да стигне до ресурсот по предвидената патека. Одбивањето докажува дека сличен идентитет не може, и токму тој тест луѓето го прескокнуваат, затоа алтернативните слушатели преживуваат ревизии. Споредете го предложениот дизајн со овие резултати, а не со TLS конфигурацијата на апликацијата, која никогаш не проверила ниту еден од нив.
Каде VPN за локацијата уште го заслужува своето место
Тунел или тесна порта е точниот одговор кога ресурсот нема сопствена автентикација за секое барање: портови за одржување на бази на податоци, цели за резервни копии, конзоли на хипервизор, управување вон опсег. Тие слушатели ѝ веруваат на мрежата, па мрежата мора да биде таа што го автентикува повикувачот.
Тоа не е единствениот одговор. Порта што ја завршува авторизацијата за секој ресурс може да биде потесна од тунел за целата подмрежа и остава подобра ревизорска трага од заеднички домаќин за прескок.
Редослед на работа: завршете го пописот, затворете ги алтернативите, проверете едно одбивање по ред и само потоа повлечете го тунелот. Ако ред не може да создаде одбивање, задржете ја приватната патека додека не може.