Adakah anda masih memerlukan VPN jika menggunakan Identity-Aware Proxy?

Andaiannya begini: sebaik sahaja proksi yang mengenal identiti berdiri di hadapan aplikasi dalaman, VPN hanyalah hiasan dan klien boleh pergi. Itu benar untuk satu kes sempit, aplikasi HTTPS interaktif yang digunakan seseorang dalam pelayar, dan ia gagal secara senyap di tempat lain. Proksi membenarkan permintaan terhadap sumber; VPN menerima klien ke dalam skop rangkaian, dan kedua-dua sempadan itu jarang sejajar. Sebelum bersara terowong, bandingkan operasi yang benar-benar dilakukan orang anda, bukan label produk pada rajah.

Dua gerbang membenarkan perkara yang berbeza

Gerbang aplikasi memutuskan sama ada permintaan ini, daripada identiti ini, boleh mencapai sumber terlindung ini. Gambaran keseluruhan Identity-Aware Proxy Google menerangkan tepat bentuk itu: lapisan kebenaran pusat di hadapan aplikasi HTTPS, dikendalikan oleh peranan IAM. Sempadan ialah sumber, dan unit akses ialah permintaan. VPN dihalakan melakukan sesuatu yang lebih kasar dan lebih luas: ia menerima klien ke dalam skop rangkaian yang ditentukan, selepas itu aplikasi masih memutuskan apa yang boleh dilakukan klien tersebut.

Tiada model yang mengandaikan yang lain. Melalui gerbang tidak berkata apa-apa tentang membaca rekod tertentu, dan berada di rangkaian tidak berkata apa-apa tentang kebenaran untuk bertindak.

Apa yang proksi tidak liputi, dan VPN liputi

Sesi SSH, klien pangkalan data, broker mesej dan nama hos dalaman yang tidak pernah dibuka mana-mana pelayar tidak menjadi boleh dicapai semata-mata kerana ada proksi web. Setiap satu bercakap protokolnya sendiri, dan setiap satu memerlukan sama ada laluan disahkan sendiri atau rangkaian yang membawanya. Itulah jurang yang ditemui orang pada hari pertama migrasi, biasanya daripada jurutera atas panggilan yang komputer ribanya tidak lagi dapat menyelesaikan nama hos.

Jurang sebaliknya sama nyata. VPN yang menerima klien ke dalam subnet tidak mengesahkan orang di dalamnya, dan peranti yang terjejas pada subnet itu mewarisi apa sahaja yang dibenarkan rangkaian. Jika keperluan ialah kebenaran setiap permintaan dengan identiti yang boleh diaudit, penghalaan sahaja tidak dapat menghasilkannya. Kebanyakan organisasi akhirnya menjalankan kedua-duanya, dan soalan menarik ialah sumber mana yang boleh didahului oleh setiap satu.

Aliran kerja klien menentukan lebih daripada rajah seni bina

Log masuk pelayar dengan ubah hala dan cabaran MFA sekali-sekala ialah pengalaman baik bagi orang yang mengklik penanda buku. Tugas cron, CLI atau agen binaan tidak mempunyai pelayar dan tidak boleh menjawab gesaan interaktif, jadi ia memerlukan laluan bukan interaktif yang didokumenkan atau terowong. Penemuan keperluan itu biasanya berlaku selepas reka bentuk diluluskan.

Kira klien sebelum mengira aplikasi. Satu papan pemuka boleh melayani seratus orang; satu port pangkalan data boleh menyekat seluruh pasukan.

Postur peranti bukan sifat mana-mana gerbang

Memasang klien VPN bukan pemeriksaan pematuhan, dan reka bentuk berasaskan pelayar tidak secara automatik tidak mampu mematuhi dasar peranti terurus. Kedua-duanya boleh berintegrasi dengan isyarat postur, dan kedua-duanya boleh digunakan tanpanya. Tanya penguatkuasaan apa yang wujud, siapa memiliki dasar itu dan apa yang berlaku kepada peranti yang gagal, bukannya membuat kesimpulan daripada bentuk produk.

Kehati-hatian yang sama terpakai pada penarikan akses. Memadam keahlian kumpulan dalam proksi dan membatalkan sijil untuk terowong ialah operasi berbeza dengan kelewatan berbeza, dan salah satunya biasanya dilupakan semasa berhenti kerja.

Cari laluan alternatif sebelum bersara apa-apa

Asal tidak terlindung di belakang proksi, nama hos kedua yang memintasnya, atau laluan peribadi luas yang tinggal daripada reka bentuk terdahulu akan menentukan gerbang mana yang benar-benar berkuat kuasa. Uji operasi yang dibenarkan dan yang ditolak melalui klien sebenar, bukan melalui konsol, dan uji kedua-duanya daripada peranti yang tidak pernah didaftarkan. Kes yang ditolak itulah yang memberitahu anda sama ada gerbang itu melakukan apa-apa.

Kemudian tulis penyerahan: pendaftaran, kemas kini, penarikan akses dan laluan pemulihan bagi seseorang yang terkunci di luar pada pukul 2 pagi. Membuang gesaan atau aplikasi klien memindahkan tanggungjawab antara pasukan; ia tidak memadam tanggungjawab.

Jika anda membuat keputusan minggu ini, mulakan dengan senarai operasi bukan senarai produk, tandakan mana yang boleh dilakukan pelayar, dan biarkan selebihnya mewajarkan akses rangkaian yang bertahan.