VPN b'ħafna kerrejja: gateway kondiviż, għal kull kerrej jew għal kull host
Mini mhuwiex iżolament tal-kerrejja. Qabbel gateway kondiviż, gateways għal kull kerrej u konnessjonijiet għal kull host fl-immapjar tal-identità, ir-rotta u t-tneħħija.
Iddeċiedi min jammetti klijent u x'jimpedixxi lil dak il-klijent milli jasal għar-riżorsi ta' kerrej ieħor. Dawn huma żewġ deċiżjonijiet, u l-għażla ta' IPsec, WireGuard jew prodott mesh ma tweġibx għal waħda minnhom. Mini li jitla' perfettament xorta jista' jħalli lil kull kerrej kapaċi jasal għal kulħadd, u reviżjoni li tittratta t-tnejn bħala l-istess ħaġa tapprova d-disinn ħażin. L-ewwel ikteb il-mappa mill-klijent għar-riżorsa: amministraturi, aċċess ta' appoġġ, servizzi kondiviżi u l-mogħdijiet li għandhom jibqgħu miċħuda.
Ibda bil-mappa, mhux bil-prodott
Dik il-mappa hija l-ewwel artefatt, u kull għażla hawn taħt hija biss deċiżjoni dwar fejn tgħix il-fruntiera li tinforzaha. Żommha reviżabbli: ringiela għal kull klijent, ringiela għal kull servizz kondiviż u l-mogħdijiet miċħuda miktuba.
Mappa li ħadd ma jista' jaqra hija mappa li ħadd mhu se jinforza.
Punt wieħed ta' ammissjoni u l-problema tal-immapjar tiegħu
Kull tqegħid jiġi deċiż minn mistoqsija operattiva waħda, u t-tabella hija l-paragun kollu.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Gateway kondiviż jiċċentralizza l-ammissjoni u jiċċentralizza r-riskju f'post wieħed: l-assoċjazzjoni bejn l-identità ta' kerrej u l-politika tiegħu. Gruppi jew indirizzi tal-mini għandhom jiġu riżolti fil-permessi tar-riżorsi t-tajbin, u tikketta differenti għal kull klijent waħedha ma timpedixxi xejn. Kuntesti ta' rotta separati jistgħu jżommu prefissi li jikkoinċidu meta l-pjattaforma tappoġġjaha u d-disinn ikun komplut. Tabella tal-rotta kondiviża sempliċi ma tistax tiddistingwi żewġ prefissi tad-destinazzjoni identiċi biss għax in-nies warajhom għandhom kontijiet differenti.
Dan huwa t-test għal ħafna disinji. Żewġ kerrejja li jinnumeraw internament b'10.0.0.0/8 jeħtieġu stat ta' rotta separat, mhux konvenzjoni ta' ismijiet.
Gateway għal kull kerrej jixtri fruntieri u sistemi
Gateway wieħed għal kull klijent jagħmel xi fruntieri amministrattivi faċli biex jiġu spjegati, għax l-ammissjoni u l-politika għal dak il-klijent joqogħdu flimkien. Huwa wkoll immultiplika s-sistemi li jeħtieġu kredenzjali, garżi, monitoraġġ u sidien. U ma jimponix arranġament wieħed preskritt ta' indirizzi pubbliċi: il-qsim tal-punti tat-tmiem, it-traduzzjoni u d-demultipleksing tal-protokolli jiddependu minn dak li l-implimentazzjoni tappoġġja tassew.
Għodd is-sistemi u n-nies qabel ma tgħodd il-qligħ tas-sigurtà. Disinn b'erba' gateways aktar milli t-tim jista' jgħatti mhuwiex aktar iżolat fil-prattika.
Jekk in-numru ta' kerrejja jitmexxa kull xahar, dak il-mudell jeħtieġ storja ta' awtomazzjoni u mhux mudell ta' xogħol.
Konnessjonijiet għal kull host iċaqalqu x-xogħol
Konnessjoni fuq kull magna ospitata ma tneħħix ix-xogħol operattiv, iċċaqalqu fiċ-ċiklu tal-ħajja tal-magna. Ir-reġistrazzjoni, il-politika għal kull magna, ir-rotazzjoni tal-ċwievet u s-sostituzzjoni jsiru parti mill-provvista, u jonqsu fl-istess tieqa bħall-magna stess. Għal numru żgħir ta' hosts fit-tul fuq netwerks differenti dan spiss ikun tajjeb, u għal flotta li diġà tilfet il-kont ta' liema immaġni taħdem fejn, rari.
Semmi rwol għall-ħruġ tal-identità, aġġornamenti, tneħħija tal-aċċess, monitoraġġ u rkupru taħt kull għażla. Imbagħad staqsi x'jiġri fil-jum li fih klijent wieħed jitlaq.
It-tneħħija tappartjeni għall-paragun
Ħafna mill-paraguni jaqbżu t-tneħħija. It-tneħħija ta' kerrej għandha tagħmel il-kredenzjali tiegħu invalidi, twaqqa' l-politika tiegħu, teħles l-indirizzi u l-istat tar-rotta tiegħu u tħalli lil kulħadd ieħor bla mittiefes. Il-linji gwida tal-arkitettura ta' fiduċja żero tan-NIST huma r-referenza t-tajba hawn, għax jqiegħdu l-awtentikazzjoni u l-awtorizzazzjoni fuq ir-riżorsa minflok ma jafdaw pożizzjoni fin-netwerk, u dan japplika wkoll ġewwa s-segment tal-klijent innifsu.
Iżen il-flussi permessi u miċħuda, it-trattament tal-indirizzi li jikkoinċidu u l-proċedura tat-tneħħija qabel ma iżen il-parametri referenzjali tal-protokoll. Imbagħad agħżel trasport u metodu ta' awtentikazzjoni li jaqblu mal-fruntiera li għażilt. Isem ta' prodott aktar qadim, jew l-argument li kull negozju għandu jistandardizza fuq protokoll wieħed, ma jsolvix xejn minn dan. Il-mappa li ktibt l-ewwel tagħmel dan.