Identity-Aware Proxy ашиглаж байгаа бол танд VPN хэрэгтэй хэвээр байна уу?

Таамаглал ийм байна: таних чадварыг мэддэг прокси дотоод аппуудын өмнө зогссон даруйд VPN зөвхөн чимэглэл болж, клиент явж болно. Энэ нь нэг нарийн тохиолдолд л үнэн — хүн хөтөч дээр ашигладаг интерактив HTTPS апп — бусад бүх газарт чимээгүйгээр бүтэлгүйтдэг. Прокси нөөц рүү чиглэсэн хүсэлтийг зөвшөөрдөг; VPN клиентийг сүлжээний хүрээнд оруулдаг, эдгээр хоёр хил хязгаар сийрэг давхцдаг. Туннелийг хасахаас өмнө диаграм дээрх бүтээгдэхүүний шошгыг биш, танай хүмүүсийн бодитоор хийдэг үйлдлүүдийг харьцуулна уу.

Хоёр хаалга өөр өөр зүйлд зөвшөөрөл өгдөг

Аппын хаалга энэ хүсэлт энэ таних чадвараас энэ хамгаалагдсан нөөцөд хүрч болох эсэхийг шийддэг. Google-ийн Identity-Aware Proxy тойм яг энэ хэлбэрийг тодорхайлдаг: HTTPS аппуудын өмнө IAM үүргээр удирддаг төвлөрсөн зөвшөөрлийн давхарга. Хил бол нөөц, хандалтын нэгж бол хүсэлт. Маршрутлагдсан VPN илүү бүдүүлэг, өргөн зүйл хийдэг: клиентийг тодорхайлсон сүлжээний хүрээнд оруулж, дараа нь апп тухайн клиент юу хийж болохыг шийддэг.

Аль ч загвар нөгөөгүй агуулдаггүй. Хаалгаар гарах нь тодорхой бичлэг унших тухай юу ч хэлэхгүй, сүлжээнд байх нь үйлдэх зөвшөөрлийн тухай юу ч хэлэхгүй.

Прокси юуг хамарахгүй, VPN юуг хамардаг

SSH сесс, өгөгдлийн сангийн клиент, мессежийн брокер, ямар ч хөтөч хэзээ ч нээдэггүй дотоод хостын нэрүүд нь вэб прокси байгаа учраас л хүрч болохгүй. Тус бүр өөрийн протоколоор ярьдаг, тус бүрд өөрийн баталгаажуулсан зам эсвэл түүнийг зөөж явдаг сүлжээ хэрэгтэй. Энэ бол шилжилтийн эхний өдрөэр хүмүүсийг илрүүлдэг завсар бөгөөд ихэвчлэн хостын нэрийг шийдэж чадахгүй болсон зөөврийн компьютертэй жижүүрийн инженерээс сонсдог.

Эсрэг завсар нь мөн адил бодит. Клиентийг дэд сүлжээнд оруулдаг VPN дотрын хүнийг баталгаажуулдаггүй, тухайн дэд сүлжээнд халдалтад өртсөн төхөөрөмж сүлжээний зөвшөөрсөн бүхнийг өвлөдөг. Шаардлага нь аудитлах боломжтой таних чадвартайгаар хүсэлт бүрд зөвшөөрөл байвал зөвхөн маршрутлал үүнийг бий болгож чадахгүй. Ихэнх байгууллагууд эцэстээ хоёуланг нь ажиллуулдаг, сонирхолтой асуулт нь аль нөөцийн өмнө аль нь зогсож болох вэ.

Клиентийн ажлын урсгал архитектурын диаграмаас илүү зүйлийг шийддэг

Хөтөч дээрх нэвтрэлт дахин чиглүүлэлт болон аль алгууртаа MFA сорилттой нь хавтасны тэмдэглэг дардаг хүнд сайн туршлага. Cron ажил, CLI эсвэл build агент хөтөчгүй бөгөөд интерактив асуултад хариулж чадахгүй тул баримтжуулсан интерактив бус зам эсвэл туннель хэрэгтэй. Тухайн шаардлагыг нээх нь ихэвчлэн дизайн батлагдсаны дараа тохиолддог.

Аппуудыг тоолохоос өмнө клиентүүдийг тоол. Нэг хэрэглэгчийн самбар зуун хүнд үйлчилж чадана; нэг өгөгдлийн сангийн порт бүтэн багийг хааж чадана.

Төхөөрөмжийн байдал аль ч хаалганы шинж чанар биш

VPN клиент суулгах нь нийцлийн шалгалт биш, хөтөчд суурилсан дизайн нь удирдагдах төхөөрөмжийн бодлогыг дагаж чадахгүй гэж автоматаар тогтоогддоггүй. Хоёула нь байдлын дохиотой нэгтээх боломжтой, хоёуланг нь тэдгүүргүйгээр байрлуулж болно. Бүтээгдэхүүний хэлбэрээс дүгнэлт гаргахийн орно, ямар хэрэгжүүлэлт байгаа, бодлого хэнийх, түүнийг зөрчсөн төхөөрөмжид юу тохиолдог эсэхийг асууж уу.

Хандалтыг устгахад мөн адил болгоомжлол хамаатай. Прокси дахь бүлгийн гишүүнүудийг устгах, туннелийн gэрчилгээг цуцалах нь өөр хоцролтой өөр үйлдэл бөгөөд аль нь ажлаас гарахад ихэвчлэн мартагддаг.

Ямар нэг зүйлийг хасахаас өмнө өөр замуудыг ол

Проксиний ард байгаа хамгаалалтгүй эх усрвалж, түүнийг тойрч гардаг хоёрдаах хостын нэр, эсвэл өмнөх дизайнаас үлдсэн өргөн хувийн маршрут аль хаалга үнэхээр хүчинтэй байгааг шийднэ. Зөвшөөрсөн болон татгалзсан үйлдлийг консолоор биш, бодит клиентээр шалгаж, хэзээ ч бүртгээгүй төхөөрөмжөөс ажиглаж үз. Татгалзсан тохиолдол нь хаалга ер нь юу ч хийж байгаа эсэхийг хэлдэг.

Дараа нь шилжүүлэлтийг бич: бүртгэл, шинэчлэл, хандалтыг устгах, шөнийн 2 цагт гадаа түгжигдсэн хүнд сэргээх зам. Сануулга эсвэл клиентийн аппыг устгах нь хариуцлагыг багуудын хооронд шилжүүлдэг; хариуцлагыг устгадаггүй.

Энэ долоо хоногт шийдвэл бүтээгдэхүүний жагсаалтаас биш, үйлдлийн жагсаалтаас эхэлж, хөтөч аль үйлдлийг хийж чадахыг тэмдэглэж, үлдсэн нь амьд үлдсэн сүлжээний хандалтыг үндэслэх болтугай.