मल्टी-टेनंट VPN: सामायिक गेटवे, प्रत्येक टेनंट किंवा प्रत्येक होस्ट
टनेल म्हणजे टेनंट वेगळेपण नाही। सामायिक गेटवे, प्रत्येक टेनंटसाठी गेटवे आणि प्रत्येक होस्टसाठी कनेक्शन यांची ओळख मॅपिंग, राउटिंग आणि निवृत्ती यावर तुलना करा।
ग्राहकाला कोण प्रवेश देतो आणि त्या ग्राहकाला दुसऱ्या टेनंटच्या संसाधनांपर्यंत पोहोचण्यापासून काय थांबवते हे ठरवा। हे दोन निर्णय आहेत, आणि IPsec, WireGuard किंवा mesh उत्पादन निवडल्याने दोन्हीपैकी कोणत्याही उत्तर मिळत नाही। पूर्णपणे वर येणारे टनेलही प्रत्येक टेनंटला इतर सर्वांपर्यंत पोहोचू देत असू शकते, आणि दोन्हींना एकच गोष्ट मानणारा आढावा चुकीच्या रचनेला मंजुरी देतो। आधी ग्राहक-ते-संसाधन नकाशा लिहा: प्रशासक, सहाय्य प्रवेश, सामायिक सेवा आणि नकार दिलेलेच राहिले पाहिजेत असे मार्ग।
उत्पादनापासून नाही, नकाशापासून सुरुवात करा
तो नकाशा पहिला दस्तऐवज आहे, आणि खालील प्रत्येक निवड ही ती लागू करणारी सीमा कुठे असते याचा निर्णय आहे। तो आढावयोग्य ठेवा: प्रत्येक ग्राहकासाठी एक ओळ, प्रत्येक सामायिक सेवेसाठी एक ओळ आणि नकार दिलेले मार्ग लिहिलेले।
जो नकाशा कोणीही वाचू शकत नाही तो नकाशा कोणीही लागू करणार नाही।
एक प्रवेश बिंदू आणि त्याची मॅपिंग समस्या
प्रत्येक स्थान एकाच कार्यरत प्रश्नाने ठरते, आणि तक्ताच संपूर्ण तुलना आहे।
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
सामायिक गेटवे प्रवेश केंद्रित करतो आणि धोका एकाच ठिकाणी केंद्रित करतो: टेनंटची ओळख आणि त्याचे धोरण यांच्यातील दुवा। गट किंवा टनेल पत्ते योग्य संसाधन परवानग्यांमध्ये सोडवले पाहिजेत, आणि प्रत्येक ग्राहकासाठी वेगळा लेबल स्वतः काहीही थांबवत नाही। वेगळे राउटिंग संदर्भ प्लॅटफॉर्मला समर्थन असल्यास आणि रचना पूर्ण असल्यास आच्छादित प्रीफिक्स ठेवू शकतात। साधे सामायिक राउटिंग तक्ते फक्त मागील लोकांची खाती वेगळी आहेत या कारणाने दोन समान गंतव्य प्रीफिक्स वेगळे करू शकत नाही।
ही बहुतेक रचनांसाठी चाचणी आहे। आतून 10.0.0.0/8 ने क्रमांक देणाऱ्या दोन टेनंटांना नामकरण प्रथेऐवजी वेगळी राउटिंग स्थिती लागते।
प्रत्येक टेनंटसाठी गेटवे सीमा आणि प्रणाली विकत घेतो
प्रत्येक ग्राहकासाठी एक गेटवे काही प्रशासकीय सीमा समजावणे सोपे करतो, कारण त्या ग्राहकाचा प्रवेश आणि धोरण एकत्र असतात। तो ओळखपत्रे, पॅचेस, देखरेख आणि मालक आवश्यक असलेल्या प्रणालींची संख्याही वाढवतो। आणि तो सार्वजनिक पत्त्यांची एकच ठरलेली मांडणी लादत नाही: टोकबिंदू सामायिकरण, भाषांतर आणि प्रोटोकॉल डिमल्टिप्लेक्सिंग हे अंमलबजावणी प्रत्यक्षात कशाला समर्थन देते यावर अवलंबून आहे।
सुरक्षा लाभ मोजण्यापूर्वी प्रणाली आणि लोक मोजा। संघ पॅच करू शकतो त्यापेक्षा चार जास्त गेटवे असलेली रचना प्रत्यक्षात अधिक विलग नाही।
टेनंटची संख्या दर महिन्याला बदलत असेल, तर त्या प्रारूपाला टेम्पलेट नाही, स्वयंचलनाची कथा लागते।
प्रत्येक होस्टसाठी कनेक्शन काम हलवतात
प्रत्येक होस्ट केलेल्या यंत्रावरील कनेक्शन कार्यरत काम काढून टाकत नाही, ते यंत्राच्या जीवनचक्रात नेते। नोंदणी, प्रति-यंत्र धोरण, की फिरती आणि बदली हे सर्व पुरवठ्याचा भाग होतात, आणि ते यंत्राप्रमाणेच त्याच कालावधीत अयशस्वी होतात। वेगळ्या जाळ्यांवरील काही दीर्घायुषी होस्टसाठी हे बहुधा बरोबर असते, आणि कोणती प्रतिमा कुठे चालते याचा हिशोब आधीच हरवलेल्या ताफ्यासाठी क्वचित।
प्रत्येक पर्यायाखाली ओळख देणे, अद्यतने, प्रवेश काढणे, देखरेख आणि पुनर्प्राप्तीसाठी भूमिका नाव द्या। मग एक ग्राहक जातो त्या दिवशी काय होते ते विचारा।
निवृत्ती तुलनेचा भाग आहे
बहुतेक तुलना निवृत्ती वगळतात। टेनंट काढण्याने त्याची ओळखपत्रे अवैध झाली पाहिजेत, त्याचे धोरण पडले पाहिजे, त्याचे पत्ते आणि राउटिंग स्थिती मुक्त झाली पाहिजे आणि बाकी सर्व अस्पर्श राहिले पाहिजेत। NIST चे शून्य-विश्वास आर्किटेक्चर मार्गदर्शन येथे योग्य संदर्भ आहे, कारण ते जाळ्यातील स्थानावर विश्वास ठेवण्याऐवजी प्रमाणीकरण आणि अधिकृतता संसाधनावर ठेवते, आणि ते ग्राहकाच्या स्वतःच्या विभागातही लागू होते।
प्रोटोकॉल बेंचमार्क तोलण्यापूर्वी अनुमत आणि नाकारलेले प्रवाह, आच्छादित पत्त्यांची हाताळणी आणि निवृत्ती प्रक्रिया तोला। मग तुम्ही निवडलेल्या सीमेशी जुळणारी वाहतूक आणि प्रमाणीकरण पद्धत निवडा। जुने उत्पादन नाव, किंवा प्रत्येक व्यवसायाने एकाच प्रोटोकॉलवर मानकीकरण केले पाहिजे हा दावा, यातील काहीही ठरवत नाही। आधी लिहिलेला नकाशा ते ठरवतो।