VPN berbilang penyewa: gateway dikongsi, setiap penyewa atau setiap hos
Terowong bukan pengasingan penyewa. Bandingkan gateway dikongsi, gateway bagi setiap penyewa dan sambungan bagi setiap hos dari segi pemetaan identiti, penghalaan dan penamatan.
Tentukan siapa yang menerima pelanggan dan apa yang menghalang pelanggan itu daripada mencapai sumber penyewa lain. Itu dua keputusan, dan memilih IPsec, WireGuard atau produk mesh tidak menjawab kedua-duanya. Terowong yang timbul dengan sempurna masih boleh membiarkan setiap penyewa mencapai semua yang lain, dan semakan yang menganggap kedua-duanya sama meluluskan reka bentuk yang salah. Tulis peta pelanggan-ke-sumber terlebih dahulu: pentadbir, akses sokongan, perkhidmatan dikongsi dan laluan yang mesti kekal dinafikan.
Mulakan dengan peta, bukan produk
Peta itu ialah artifak pertama, dan setiap pilihan di bawah hanyalah keputusan tentang di mana sempadan yang menguatkuasakannya berada. Kekalkan ia boleh disemak: satu baris bagi setiap pelanggan, satu baris bagi setiap perkhidmatan dikongsi dan laluan yang dinafikan ditulis.
Peta yang tiada siapa boleh baca ialah peta yang tiada siapa akan kuatkuasakan.
Satu titik penerimaan dan masalah pemetaannya
Setiap penempatan diputuskan oleh satu soalan operasi, dan jadual itu ialah keseluruhan perbandingan.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Gateway dikongsi memusatkan penerimaan dan memusatkan risiko di satu tempat: kaitan antara identiti penyewa dan dasarnya. Kumpulan atau alamat terowong mesti diselesaikan kepada kebenaran sumber yang betul, dan label berbeza bagi setiap pelanggan tidak menghalang apa-apa dengan sendirinya. Konteks penghalaan berasingan boleh menyimpan awalan bertindih apabila platform menyokongnya dan reka bentuk lengkap. Jadual penghalaan dikongsi biasa tidak dapat membezakan dua awalan destinasi yang sama hanya kerana orang di belakangnya mempunyai akaun berbeza.
Itulah ujian bagi kebanyakan reka bentuk. Dua penyewa yang menombori secara dalaman dengan 10.0.0.0/8 memerlukan keadaan penghalaan berasingan, bukan konvensyen penamaan.
Gateway bagi setiap penyewa membeli sempadan dan sistem
Satu gateway bagi setiap pelanggan menjadikan sesetengah sempadan pentadbiran mudah dijelaskan, kerana penerimaan dan dasar pelanggan itu berada bersama. Ia juga menggandakan sistem yang memerlukan kelayakan, tampalan, pemantauan dan pemilik. Dan ia tidak memaksa satu susunan alamat awam yang ditetapkan: perkongsian titik akhir, terjemahan dan demultiplexing protokol bergantung kepada apa yang benar-benar disokong oleh pelaksanaan.
Kira sistem dan orang sebelum mengira keuntungan keselamatan. Reka bentuk dengan empat gateway lebih banyak daripada yang mampu ditampal pasukan tidak lebih terasing dalam amalan.
Jika bilangan penyewa berubah setiap bulan, model itu memerlukan kisah automasi, bukan templat.
Sambungan bagi setiap hos memindahkan kerja
Sambungan pada setiap mesin yang dihoskan tidak menghapuskan kerja operasi, ia memindahkannya ke kitaran hayat mesin. Pendaftaran, dasar setiap mesin, putaran kunci dan penggantian menjadi sebahagian daripada peruntukan, dan ia gagal dalam tetingkap yang sama dengan mesin itu sendiri. Bagi segelintir hos lama dalam rangkaian berbeza, itu selalunya betul, dan bagi armada yang sudah hilang jejak imej mana berjalan di mana, jarang.
Namakan peranan untuk pengeluaran identiti, kemas kini, pembuangan akses, pemantauan dan pemulihan di bawah setiap pilihan. Kemudian tanya apa yang berlaku pada hari seorang pelanggan pergi.
Penamatan termasuk dalam perbandingan
Kebanyakan perbandingan melangkau penamatan. Membuang penyewa harus membatalkan kelayakannya, menggugurkan dasarnya, melepaskan alamat dan keadaan penghalaannya dan membiarkan semua yang lain tidak disentuh. Panduan seni bina tanpa kepercayaan NIST ialah rujukan yang betul di sini, kerana ia meletakkan pengesahan dan kebenaran pada sumber dan bukan mempercayai kedudukan rangkaian, dan itu juga terpakai di dalam segmen pelanggan itu sendiri.
Timbang aliran yang dibenarkan dan dinafikan, pengendalian alamat bertindih dan prosedur penamatan sebelum menimbang penanda aras protokol. Kemudian pilih pengangkutan dan kaedah pengesahan yang sesuai dengan sempadan yang anda pilih. Nama produk yang lebih lama, atau dakwaan bahawa setiap perniagaan mesti menyeragamkan satu protokol, tidak menyelesaikan apa-apa daripadanya. Peta yang anda tulis dahulu menyelesaikannya.