മൾട്ടി-ടെനന്റ് VPN: പങ്കിട്ട ഗേറ്റ്വേ, ഓരോ ടെനന്റിനോ ഓരോ ഹോസ്റ്റിനോ
ടണൽ ടെനന്റ് വേർതിരിവല്ല. പങ്കിട്ട ഗേറ്റ്വേ, ഓരോ ടെനന്റിനുള്ള ഗേറ്റ്വേകൾ, ഓരോ ഹോസ്റ്റിനുള്ള കണക്ഷനുകൾ എന്നിവ ഐഡന്റിറ്റി മാപ്പിംഗ്, റൂട്ടിംഗ്, നീക്കം എന്നിവയിൽ താരതമ്യം ചെയ്യുക.
ഉപഭോക്താവിനെ ആരാണ് സ്വീകരിക്കുന്നതെന്നും ആ ഉപഭോക്താവിനെ മറ്റൊരു ടെനന്റിന്റെ വിഭവങ്ങളിലേക്ക് എത്തുന്നതിൽ നിന്ന് എന്താണ് തടയുന്നതെന്നും തീരുമാനിക്കുക. ഇവ രണ്ട് തീരുമാനങ്ങളാണ്, IPsec, WireGuard അല്ലെങ്കിൽ mesh ഉൽപ്പന്നം തിരഞ്ഞെടുക്കുന്നത് രണ്ടിനും ഉത്തരം നൽകുന്നില്ല. തികച്ചും ഉയരുന്ന ടണലും ഓരോ ടെനന്റിനും ബാക്കിയുള്ളവരിലേക്ക് എത്താൻ അവസരം നൽകിയേക്കാം, രണ്ടിനെയും ഒന്നായി കാണുന്ന അവലോകനം തെറ്റായ രൂപകൽപ്പന അംഗീകരിക്കുന്നു. ആദ്യം ഉപഭോക്താവ്-വിഭവ മാപ്പ് എഴുതുക: അഡ്മിനിസ്ട്രേറ്റർമാർ, പിന്തുണാ പ്രവേശനം, പങ്കിട്ട സേവനങ്ങൾ, നിഷേധിച്ചു തന്നെ നിൽക്കേണ്ട പാതകൾ.
ഉൽപ്പന്നത്തിൽ നിന്നല്ല, മാപ്പിൽ നിന്ന് തുടങ്ങുക
ആ മാപ്പാണ് ആദ്യ രേഖ, താഴെയുള്ള ഓരോ തിരഞ്ഞെടുപ്പും അത് നടപ്പാക്കുന്ന അതിർത്തി എവിടെയാണ് എന്ന തീരുമാനം മാത്രമാണ്. അത് പരിശോധിക്കാവുന്നതായി നിർത്തുക: ഓരോ ഉപഭോക്താവിനും ഒരു വരി, ഓരോ പങ്കിട്ട സേവനത്തിനും ഒരു വരി, നിഷേധിച്ച പാതകൾ എഴുതിയിരിക്കണം.
ആർക്കും വായിക്കാനാകാത്ത മാപ്പ് ആരും നടപ്പാക്കാത്ത മാപ്പാണ്.
ഒരു പ്രവേശന കേന്ദ്രവും അതിന്റെ മാപ്പിംഗ് പ്രശ്നവും
ഓരോ സ്ഥാനവും ഒരു പ്രവർത്തന ചോദ്യം തീരുമാനിക്കുന്നു, പട്ടികയാണ് മുഴുവൻ താരതമ്യം.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
പങ്കിട്ട ഗേറ്റ്വേ പ്രവേശനം കേന്ദ്രീകരിക്കുകയും അപകടസാധ്യത ഒരിടത്ത് കേന്ദ്രീകരിക്കുകയും ചെയ്യുന്നു: ടെനന്റ് ഐഡന്റിറ്റിയും അതിന്റെ നയവും തമ്മിലുള്ള ബന്ധം. ഗ്രൂപ്പുകളോ ടണൽ വിലാസങ്ങളോ ശരിയായ വിഭവാനുമതികളിലേക്ക് പരിഹരിക്കപ്പെടണം, ഓരോ ഉപഭോക്താവിനും വ്യത്യസ്ത ലേബൽ സ്വയം ഒന്നും തടയുന്നില്ല. വേർതിരിച്ച റൂട്ടിംഗ് സന്ദർഭങ്ങൾക്ക് പ്ലാറ്റ്ഫോം പിന്തുണയ്ക്കുകയും രൂപകൽപ്പന പൂർണ്ണമാകുകയും ചെയ്യുമ്പോൾ ഓവർലാപ്പിംഗ് പ്രിഫിക്സുകൾ സൂക്ഷിക്കാം. സാധാരണ പങ്കിട്ട റൂട്ടിംഗ് പട്ടികയ്ക്ക് പിന്നിലുള്ള ആളുകൾക്ക് വ്യത്യസ്ത അക്കൗണ്ടുകൾ ഉള്ളതുകൊണ്ട് മാത്രം രണ്ട് സമാന ലക്ഷ്യ പ്രിഫിക്സുകൾ വേർതിരിച്ചറിയാനാവില്ല.
മിക്ക രൂപകൽപ്പനകൾക്കും ഇതാണ് പരീക്ഷ. ഉള്ളിൽ 10.0.0.0/8 ഉപയോഗിച്ച് അക്കമിടുന്ന രണ്ട് ടെനന്റുകൾക്ക് നാമകരണ കൺവെൻഷനല്ല, വേർതിരിച്ച റൂട്ടിംഗ് അവസ്ഥ വേണം.
ഓരോ ടെനന്റിനുമുള്ള ഗേറ്റ്വേ അതിരുകളും സംവിധാനങ്ങളും വാങ്ങുന്നു
ഓരോ ഉപഭോക്താവിനും ഒരു ഗേറ്റ്വേ ചില ഭരണപരമായ അതിരുകൾ വിശദീകരിക്കാൻ എളുപ്പമാക്കുന്നു, കാരണം ആ ഉപഭോക്താവിന്റെ പ്രവേശനവും നയവും ഒരുമിച്ചാണ്. ഇത് ക്രെഡൻഷ്യലുകൾ, പാച്ചുകൾ, നിരീക്ഷണം, ഉടമ എന്നിവ ആവശ്യമുള്ള സംവിധാനങ്ങളെ ഗുണിക്കുകയും ചെയ്യുന്നു. പൊതു വിലാസങ്ങളുടെ ഒരു നിർദിഷ്ട ക്രമീകരണവും ഇത് അടിച്ചേൽപ്പിക്കുന്നില്ല: എൻഡ്പോയിന്റ് പങ്കിടൽ, വിവർത്തനം, പ്രോട്ടോക്കോൾ ഡിമൾട്ടിപ്ലെക്സിംഗ് എന്നിവ നടപ്പാക്കൽ യഥാർത്ഥത്തിൽ എന്തിനെ പിന്തുണയ്ക്കുന്നു എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു.
സുരക്ഷാ നേട്ടം കണക്കാക്കുന്നതിന് മുമ്പ് സംവിധാനങ്ങളും ആളുകളും കണക്കാക്കുക. ടീമിന് പാച്ച് ചെയ്യാനാകുന്നതിനേക്കാൾ നാല് ഗേറ്റ്വേകൾ കൂടുതലുള്ള രൂപകൽപ്പന പ്രായോഗികമായി കൂടുതൽ വേർതിരിക്കപ്പെട്ടതല്ല.
ടെനന്റുകളുടെ എണ്ണം എല്ലാ മാസവും മാറുന്നുവെങ്കിൽ, ആ മാതൃകയ്ക്ക് ടെംപ്ലേറ്റല്ല, ഓട്ടോമേഷന്റെ കഥ വേണം.
ഓരോ ഹോസ്റ്റിനുമുള്ള കണക്ഷനുകൾ ജോലി നീക്കുന്നു
ഓരോ ഹോസ്റ്റ് ചെയ്ത യന്ത്രത്തിലെയും കണക്ഷൻ പ്രവർത്തന ജോലി നീക്കം ചെയ്യുന്നില്ല, അത് യന്ത്രത്തിന്റെ ജീവിതചക്രത്തിലേക്ക് മാറ്റുന്നു. രജിസ്ട്രേഷൻ, ഓരോ യന്ത്രത്തിനുമുള്ള നയം, കീ റൊട്ടേഷൻ, പകരം വയ്ക്കൽ എന്നിവയെല്ലാം വിതരണത്തിന്റെ ഭാഗമാകുന്നു, യന്ത്രത്തിനു തന്നെയുള്ള അതേ സമയപരിധിയിൽ അവ പരാജയപ്പെടുന്നു. വ്യത്യസ്ത ശൃംഖലകളിലെ കുറച്ച് ദീർഘായുസ്സുള്ള ഹോസ്റ്റുകൾക്ക് ഇത് പലപ്പോഴും ശരിയാണ്, ഏത് ഇമേജ് എവിടെ പ്രവർത്തിക്കുന്നു എന്ന കണക്ക് ഇതിനകം നഷ്ടപ്പെടുത്തിയ ഫ്ലീറ്റിന് അപൂർവ്വമാണ്.
ഓരോ ഓപ്ഷനിലും ഐഡന്റിറ്റി നൽകൽ, അപ്ഡേറ്റുകൾ, പ്രവേശനം നീക്കൽ, നിരീക്ഷണം, വീണ്ടെടുക്കൽ എന്നിവയ്ക്ക് ഒരു പങ്ക് പേരിടുക. തുടർന്ന് ഒരു ഉപഭോക്താവ് പോകുന്ന ദിവസം എന്ത് സംഭവിക്കുമെന്ന് ചോദിക്കുക.
നീക്കം താരതമ്യത്തിന്റെ ഭാഗമാണ്
മിക്ക താരതമ്യങ്ങളും നീക്കം ഒഴിവാക്കുന്നു. ഒരു ടെനന്റ് നീക്കം ചെയ്യുന്നത് അതിന്റെ ക്രെഡൻഷ്യലുകൾ അസാധുവാക്കണം, അതിന്റെ നയം വീഴ്ത്തണം, അതിന്റെ വിലാസങ്ങളും റൂട്ടിംഗ് അവസ്ഥയും വിട്ടയയ്ക്കണം, ബാക്കിയുള്ളവരെ ഒന്നും ബാധിക്കാതെ വിടണം. NIST ന്റെ സീറോ-ട്രസ്റ്റ് ആർക്കിടെക്ചർ മാർഗ്ഗനിർദ്ദേശം ഇവിടെ ശരിയായ റഫറൻസാണ്, കാരണം അത് ശൃംഖലാ സ്ഥാനത്തെ വിശ്വസിക്കുന്നതിന് പകരം പ്രാമാണീകരണവും അധികാരവും വിഭവത്തിൽ വയ്ക്കുന്നു, അത് ഉപഭോക്താവിന്റെ സ്വന്തം സെഗ്മെന്റിനുള്ളിലും ബാധകമാണ്.
പ്രോട്ടോക്കോൾ ബെഞ്ച്മാർക്കുകൾ തൂക്കുന്നതിന് മുമ്പ് അനുവദിച്ചതും നിഷേധിച്ചതുമായ പ്രവാഹങ്ങൾ, ഓവർലാപ്പിംഗ് വിലാസങ്ങളുടെ കൈകാര്യം, നീക്കം നടപടിക്രമം എന്നിവ തൂക്കുക. തുടർന്ന് തിരഞ്ഞെടുത്ത അതിർത്തിക്ക് യോജിക്കുന്ന ഗതാഗതവും പ്രാമാണീകരണ രീതിയും തിരഞ്ഞെടുക്കുക. പഴയ ഉൽപ്പന്ന നാമം, അല്ലെങ്കിൽ എല്ലാ ബിസിനസ്സും ഒരു പ്രോട്ടോക്കോളിൽ മാനകീകരിക്കണം എന്ന വാദം, ഇവയിൽ ഒന്നും തീരുമാനിക്കുന്നില്ല. ആദ്യം എഴുതിയ മാപ്പാണ് തീരുമാനിക്കുന്നത്.