Trenger du fortsatt en nettsteds-VPN når appen bruker mTLS og SSO?
Gå gjennom kanalene appinnloggingen din aldri dekker, og avgjør deretter om privat nettverkstilgang er overflødig eller fortsatt den eneste veien til verten.
Du logger på med mTLS, dashbordet lastes, og påstanden om at nettsteds-VPN-en nå er overflødig høres rimelig omtrent så lenge det tar før du trenger å gjenopprette en database klokka to om natta. Applikasjonens TLS-grense beskriver én kanal. Verten, databasen, sikkerhetskopimålet og skykontoen har hver sin egen inngangsvei, sin egen identitet og sin egen godkjenner, og ingen av dem prøves ut av en vellykket pålogging.
Gå utover fra påloggingsskjermen
Logg på slik en vanlig bruker gjør, og skriv ned hvert hopp forespørselen berører: nettleser, kant, applikasjonslytter, sesjonslager, backend-API. Hvert hopp har en eier og en autentiseringsbeslutning. Gjenta nå vandringen for personen som patcher verten, og for jobben som skriver nattens sikkerhetskopi. Disse vandringene forgrener seg vanligvis allerede ved første hopp.
Den forgreningen er spørsmålet som er verdt å svare på. En nettsteds-VPN er bare overflødig når hver kanal i den andre vandringen har en inngangs- og autorisasjonspolicy som står på egne bein.
Fem kanaler appinnloggingen aldri dekker
Tabellen nedenfor er en inventarmal, ikke en sjekkliste for utrulling. Fyll den andre kolonnen med det ditt eget miljø faktisk håndhever i dag.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Deling av én identitetsleverandør slår ikke sammen disse autorisasjonene. En bruker som kan sende en API-forespørsel, er ikke dermed autorisert til å bytte ut en VM-disk eller gjenopprette en database med applikasjonens legitimasjon. NIST holder i sammendraget av nulltillitsarkitekturen nettopp av denne grunn autentisering og autorisasjon av ressurser atskilt fra nettverksplassering.
En støtteingeniør som kan lese en sak, er ikke dermed autorisert til å åpne en konsoll på verten bak den.
En vei er bare ekte hvis alternativet forblir stengt
Å begrense tilgjengeligheten til private administrative lyttere er en legitim erstatning for en nettsteds-VPN, forutsatt at begrensningen håndheves og ikke bare tegnes. Den vanlige feilen er en alternativ lytter som ingen husket: en tjeneste som fortsatt er bundet til alle grensesnitt, en sikkerhetsgrupperegel åpnet for en underleverandør, en administrasjonsport som er tilgjengelig fra internett.
Kontroller lyttere i stedet for diagrammer. På verten, list opp hva som faktisk er bundet med ss -ltnp, og bekreft at administrasjonsportene sitter på en privat adresse. I skykonsollen, les innkommende regler for arbeidsbelastningens undernett og se etter 0.0.0.0/0 på noe administrativt. Prøv deretter tilkoblingen fra utsiden av den private veien, fordi den testen er den som besvarer spørsmålet.
Én eneste verdensåpen regel på SSH opphever hvert argument tunneldesignet la fram.
Skriv kartet før du sammenligner design
For hver rad i inventaret, noter hvem som godkjenner identiteter, hvem som oppdaterer tilgangsreglene, hvem som fjerner legitimasjon når noen slutter, og hvem som håndterer gjenoppretting når veien selv bryter sammen. Fire navn per rad er nok til å avsløre radene der svaret er en delt konto og en wikiside fra tre år tilbake.
Valider deretter én tillatelse og én avvisning per kanal. En tillatelse beviser at den tiltenkte identiteten kan nå ressursen via den tiltenkte veien. En avvisning beviser at en lignende identitet ikke kan, og det er testen folk hopper over, og derfor overlever alternative lyttere revisjoner. Sammenlign det foreslåtte designet med disse resultatene, ikke med applikasjonens TLS-konfigurasjon, som aldri prøvde ut noen av dem.
Hvor en nettsteds-VPN fortsatt fortjener plassen sin
En tunnel eller en smal gateway er det riktige svaret når en ressurs ikke har egen autentisering per forespørsel: vedlikeholdsport for databaser, sikkerhetskopimål, hypervisor-konsoller, administrasjon utenfor båndet. Disse lytterne stoler på nettverket, så nettverket må være det som autentiserer den som ringer.
Det er ikke det eneste svaret. En gateway som avslutter autorisasjon per ressurs kan være smalere enn en tunnel for hele undernettet og etterlater et bedre revisjonsspor enn en delt hoppvert.
Arbeidsrekkefølge: fullfør inventaret, lukk alternativene, valider én avvisning per rad, og først da avvikle tunnelen. Hvis en rad ikke kan produsere en avvisning, behold den private veien til den kan.