Олон түрээслэгчтэй VPN: нийтлэг шлюз, түрээслэгч эсвэл хост тус бүрээр
Тоннель нь түрээслэгчдийн тусгаарлалт биш. Нийтлэг шлюз, түрээслэгч тус бүрийн шлюз, хост тус бүрийн холболтыг таних мэдээллийн зураглал, чиглүүлэлт, хасалтын хувьд харьцуулна уу.
Харилцагчийг хэн хүлээн авах, тэр харилцагч өөр түрээслэгчийн нөөцөд хүрэхээс юу саатуулахыг шийдээрэй. Эдгээр нь хоёр шийдвэр бөгөөд IPsec, WireGuard эсвэл mesh бүтээгдэхүүн сонгох нь аль нэгэнд ч хариу өгөхгүй. Төгс босох тоннель ч түрээслэгч бүрт бусдын бүгдэд хүрэх боломжийг үлдээж болох бөгөөд хоёрыг адил зүйл гэж үзсэн хяналт буруу загварыг баталдаг. Эхлээд харилцагчаас нөөц рүү чиглэсэн зургийг бичээрэй: администраторууд, дэмжлэгийн нэвтрэлт, нийтлэг үйлчилгээнүүд, мөн хориглосон хэвээр байх ёстой замууд.
Бүтээгдэхүүнээс биш, зургаас эхэл
Тэр зураг бол анхны артефакт бөгөөд доорх сонголт бүр зөвхөн түүнийг хэрэгжүүлэх хилийг хаана байрлуулах тухай шийдвэр юм. Үүнийг хянах боломжтой байлга: харилцагч бүрт нэг мөр, нийтлэг үйлчилгээ бүрт нэг мөр, хориглосон замууд бичигдсэн байх.
Хэн ч уншиж чадахгүй зураг бол хэн ч хэрэгжүүлэхгүй зураг юм.
Нэг хүлээн авах цэг ба түүний зураглалын асуудал
Байршил бүрийг нэг үйл ажиллагааны асуулт шийдэх бөгөөд хүснэгт нь бүх харьцуулалт юм.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Нийтлэг шлюз нэвтрэлтийг төвлөрүүлж, эрсдэлийг нэг газар төвлөрүүлдэг: түрээслэгчийн таних мэдээлэл ба түүний бодлогын хоорондын холбоо. Бүлэг эсвэл тоннелийн хаягууд зөв нөөцийн зөвшөөрөлд шилжих ёстой, харилцагч бүрт өөр шошго өөрөө юу ч хориглохгүй. Тусдаа чиглүүлэлтийн контекстууд платформ дэмжиж, загвар бүрэн бол үед давхцах префиксүүдийг хадгалж чадна. Энгийн нийтлэг чиглүүлэлтийн хүснэгт нь ард байгаа хүмүүс өөр бүртгэлтэй гэсэн шалтгаанаар л хоёр ижил очих газрын префиксийг ялгаж чадахгүй.
Энэ бол ихэнх загварын шалгалт. Дотроо 10.0.0.0/8-ээр дугаарладаг хоёр түрээслэгчид нэрлэх уламжлал биш, тусгаарлагдсан чиглүүлэлтийн төлөв хэрэгтэй.
Түрээслэгч тус бүрийн шлюз хил хязгаар ба системийг худалдаж авдаг
Харилцагч бүрт нэг шлюз нь зарим захиргааны хилийг тайлбарлахад хялбар болгодог, учир нь тухайн харилцагчийн нэвтрэлт ба бодлого хамт байдаг. Энэ нь мөн итгэмжлэл, засвар, хяналт, эзэн шаарддаг системүүдийг үржүүлдэг. Мөн нэг тогтоосон нийтийн хаягийн зохион байгуулалтыг тулгахгүй: төгсгөлийн цэгийн хуваалцалт, хөрвүүлэлт, протоколын демультиплекс нь хэрэгжүүлэлт бодитоор юуг дэмждэгээс хамаарна.
Аюулгүй байдлын ашгийг тоолохоос өмнө систем, хүмүүсийг тоол. Баг засаж чадахаас дөрвөн шлюз илүүтэй загвар практикт илүү тусгаарлагдсан биш.
Түрээслэгчдийн тоо сар бүр өөрчлөгдвөл тэр загварт загвар биш, автоматжуулалтын түүх хэрэгтэй.
Хост тус бүрийн холболт ажлыг зөөдөг
Хостлосон машин бүр дээрх холболт нь үйл ажиллагааны ажлыг арилгахгүй, харин машины амьдралын мөчлөг рүү зөөдөг. Бүртгэл, машин тус бүрийн бодлого, түлхүүр эргэлт, солилт бүгд хангамжийн хэсэг болж, машин өөрөө шиг ижил цонхонд бүтэлгүйтдэг. Өөр сүлжээн дэх цөөн урт насалсан хостод энэ нь ихэвчлэн зөв, аль дүрс хаана ажиллаж байгааг аль хэдийн алдсан флотод ховор.
Хувилбар бүрт таних мэдээлэл олгох, шинэчлэлт, нэвтрэлт хасах, хяналт, сэргээх үүргийг нэрлэ. Дараа нь нэг харилцагч явсан өдөр юу болохыг асуу.
Хасалт нь харьцуулалтад хамаарна
Ихэнх харьцуулалт хасалтыг алгасдаг. Түрээслэгчийг хасах нь түүний итгэмжлэлийг хүчингүй болгож, бодлогыг нь унагаж, хаяг ба чиглүүлэлтийн төлөвийг нь чөлөөлж, бусад бүгдийг хөндөхгүй орхих ёстой. NIST-ийн тэг итгэлийн архитектурын удирдамж энд зөв лавлагаа болно, учир нь сүлжээний байрлалд итгэхийн оронд танин баталгаажуулалт, эрх олголтыг нөөц дээр тавьдаг бөгөөд энэ нь харилцагчийн өөрийн сегментийн дотор ч хамаарна.
Протоколын жишиг үзүүлэлтийг жинлэхээс өмнө зөвшөөрөгдсөн ба хориглосон урсгал, давхцах хаягийн зохицуулалт, хасалтын журам зэргийг жинлээрэй. Дараа нь сонгосон хилд тохирох тээвэр ба танин баталгаажуулах аргыг сонго. Хуучин бүтээгдэхүүний нэр, эсвэл бизнес бүр нэг протоколд стандартчлах ёстой гэсэн мэдэгдэл эдгээрийн алийг ч шийдэхгүй. Эхэнд бичсэн зураг шийднэ.