Дали сѐ уште ви треба VPN ако користите Identity-Aware Proxy?

Претпоставката оди вака: штом пред внатрешните апликации застане прокси што го познава идентитетот, VPN-от е само украс и клиентот може да си оди. Тоа важи за еден тесен случај, интерактивна HTTPS апликација што човек ја користи во прелистувач, и тивко пропаѓа насекаде друга. Проксито авторизира барање кон ресурс; VPN-от пушта клиент во мрежен опсег, и тие две граници ретко се поклопуваат. Пред да го пензионирате тунелот, споредете ги операциите што вашите луѓе навистина ги извршуваат, а не етикетите на производите на дијаграмот.

Двете порти авторизираат различни ствари

Портата на апликацијата одлучува дали ова барање, од овој идентитет, смее да стигне до овој заштитен ресурс. Прегледот на Identity-Aware Proxy на Google го опишува точно тој облик: централен слој за авторизација пред HTTPS апликации, управуван од IAM улога. Границата е ресурсот, а единицата за пристап е барањето. Рутираниот VPN прави нешто погрубо и пошироко: пушта клиент во дефиниран мрежен опсег, по што апликацијата сѐ уште одлучува што смее тој клиент.

Ниту еден модел го подразбира другиот. Поминувањето низ портата не кажува ништо за читање на одреден запис, а престојот на мрежата не кажува ништо за дозвола да се дејствува.

Што проксито не го покрива, а VPN-от го покрива

SSH сесиите, клиентите на бази на податоци, посредниците за пораки и внатрешните имиња на домаќини што ниту еден прелистувач никогаш не ги отвора не стануваат достапни само затоа што постои веб-прокси. Секој зборува на свој протокол, и секој бара или своја автентицирана патека или мрежа што го носи. Тоа е јазот што го откриваат луѓето првиот ден од миграцијата, обично од дежурен инженер со пренослив компјутер што веќе не може да реши име на домаќин.

Обратниот јаз е исто толку реален. VPN што пушта клиент во подмрежа не ја автентицира личноста внатре, и компромитиран уред во таа подмрежа наследува сѐ што мрежата дозволува. Ако барањето е авторизација по барање со проверлив идентитет, самото рутирање не може да го создаде. Повеќето организации на крајот ги водат двете, а интересното прашање е на кои ресурси смее секое од нив да стои напред.

Работниот тек на клиентот одлучува повеќе од архитектонскиот дијаграм

Најавата во прелистувач со пренасочување и повремен предизвик MFA е добро искуство за човек што клика на обележувач. Задача по cron, CLI или агент за изградба нема прелистувач и не може да одговори на интерактивно прашање, затоа му треба документирана неинтерактивна патека или тунелот. Откривањето на тоа барање обично се случува откако дизајнот е одобрен.

Избројте ги клиентите пред да ги броите апликациите. Една табла може да служи сто луѓе; еден порт на база на податоци може да блокира цел тим.

Состојбата на уредот не е својство на ниту една од двете порти

Инсталирањето на VPN клиент не е проверка за усогласеност, а дизајнот заснован на прелистувач не е автоматски неспособен да ја почитува политиката за управувани уреди. Двете можат да се интегрираат со сигнали за состојба, и двете можат да се воведат без нив. Прашајте какво спроведување постои, чија е политиката и што се случува со уред што ја прекршува, наместо да го заклучувате од формата на производот.

Истото внимание важи и за отстранување на пристапот. Бришењето членство во група на проксито и отповикувањето сертификат за тунелот се различни операции со различно доцнење, и едната обично се заборава при заминување.

Најдете ги алтернативните патишта пред да пензионирате нешто

Незаштитено потекло зад проксито, второ име на домаќин што го заобиколува, или широка приватна рута останата од поранешен дизајн ќе одлучат која порта навистина е на сила. Тестирајте дозволена и одбиена операција низ вистинскиот клиент, не низ конзолата, и тестирајте ги од уред што никогаш не бил регистриран. Одбиениот случај е тој што ви кажува дали портата воопшто прави нешто.

Потоа напишете го предавањето: регистрација, ажурирања, отстранување на пристап и патека за обнова за некој што е заклучен надвор во 2 часот наутро. Отстранувањето на известување или клиентска апликација ја преместува одговорноста меѓу тимовите; тоа не ја брише одговорноста.

Ако одлучувате оваа седмица, почнете со список на операции, а не со список на производи, означете кои може да ги изврши прелистувач, и останатите нека го оправдаат мрежниот пристап што преживува.