VPN med flere leietakere: delt gateway, per leietaker eller per vert
En tunnel er ikke isolasjon mellom leietakere. Sammenlign en delt gateway, gatewayer per leietaker og tilkoblinger per vert på identitetskartlegging, ruting og avvikling.
Bestem hvem som slipper en kunde inn og hva som hindrer den kunden i å nå en annen leietakers ressurser. Det er to beslutninger, og valget av IPsec, WireGuard eller et mesh-produkt svarer på ingen av dem. En tunnel som kommer perfekt opp kan fortsatt la hver leietaker nå alle de andre, og en gjennomgang som behandler de to som det samme godkjenner feil design. Skriv kunde-til-ressurs-kartet først: administratorer, støttetilgang, delte tjenester og stiene som må forbli avviste.
Start med kartet, ikke med produktet
Det kartet er det første artefaktet, og hvert valg nedenfor er bare en beslutning om hvor grensen som håndhever det bor. Hold det gjennomgåelig: én rad per kunde, én rad per delt tjeneste og de avviste stiene skrevet ut.
Et kart ingen kan lese, er et kart ingen vil håndheve.
Ett opptakspunkt og dets kartleggingsproblem
Hver plassering avgjøres av ett enkelt operativt spørsmål, og tabellen er hele sammenligningen.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
En delt gateway sentraliserer opptaket og konsentrerer risikoen på ett sted: koblingen mellom en leietakers identitet og dens policy. Grupper eller tunneladresser må løses til de riktige ressursrettighetene, og en annen etikett per kunde hindrer ikke noe i seg selv. Separate rutingkontekster kan holde overlappende prefikser når plattformen støtter det og designet er komplett. En vanlig delt rutetabell kan ikke skille to identiske målprefikser bare fordi folkene bak dem har forskjellige kontoer.
Det er testen for de fleste design. To leietakere som begge nummererer internt med 10.0.0.0/8 trenger adskilt rutingstilstand, ikke en navnekonvensjon.
En gateway per leietaker kjøper grenser og systemer
Én gateway per kunde gjør noen administrative grenser enkle å forklare, fordi opptak og policy for den kunden ligger sammen. Den multipliserer også systemene som trenger legitimasjon, oppdateringer, overvåking og en eier. Og den tvinger ikke én foreskrevet ordning for offentlige adresser: deling av endepunkter, oversettelse og protokolldemultipleksing avhenger av hva implementasjonen faktisk støtter.
Tell systemene og menneskene før du teller sikkerhetsgevinsten. Et design med fire gatewayer mer enn teamet rekker å oppdatere er ikke mer isolert i praksis.
Hvis antallet leietakere endrer seg hver måned, trenger den modellen en automatiseringshistorie i stedet for en mal.
Tilkoblinger per vert flytter arbeidet
En tilkobling på hver vertet maskin fjerner ikke det operative arbeidet, den flytter det inn i maskinens livssyklus. Registrering, policy per maskin, nøkkelrotasjon og utskifting blir en del av provisjoneringen, og de feiler i samme vindu som maskinen selv. For en håndfull langlivede verter på ulike nettverk er det ofte riktig, og for en flåte som allerede har mistet oversikten over hvilket avtrykk som kjører hvor, sjelden.
Navngi en rolle for identitetsutstedelse, oppdateringer, fjerning av tilgang, overvåking og gjenoppretting under hvert alternativ. Spør så hva som skjer den dagen én kunde forlater.
Avvikling hører med i sammenligningen
De fleste sammenligninger hopper over avvikling. Fjerning av en leietaker bør ugyldiggjøre legitimasjonen, droppe policyen, frigjøre adressene og rutingstilstanden og la alle andre være urørt. NISTs veiledning for nulltillitsarkitektur er riktig referanse her, fordi den legger autentisering og autorisasjon på ressursen i stedet for å stole på en nettverksposisjon, og det gjelder også inne i kundens eget segment.
Vei tillatte og avviste strømmer, håndtering av overlappende adresser og avviklingsprosedyren før du veier protokollreferanser. Velg så en transport og autentiseringsmetode som passer til grensen du valgte. Et eldre produktnavn, eller påstanden om at hver virksomhet må standardisere på én protokoll, avgjør ingenting av det. Kartet du skrev først, gjør det.