Hebt u nog een VPN nodig als u een Identity-Aware Proxy gebruikt?

De aanname is deze: zodra een identiteitsbewuste proxy voor de interne applicaties staat, is de VPN alleen decoratie en kan de client weg. Dat geldt voor één smal geval, een interactieve HTTPS-applicatie die iemand in een browser gebruikt, en het faalt stil overal elders. Een proxy autoriseert een verzoek tegen een resource; een VPN laat een client toe tot een netwerkomvang, en die twee grenzen vallen zelden samen. Voordat u een tunnel uit dienst neemt, vergelijk de handelingen die uw mensen werkelijk uitvoeren, niet de productlabels op het diagram.

Twee poorten autoriseren verschillende dingen

Een applicatiepoort beslist of dit verzoek, van deze identiteit, deze beschermde resource mag bereiken. Google's overzicht van Identity-Aware Proxy beschrijft precies die vorm: een centrale autorisatielaag voor HTTPS-applicaties, aangestuurd door een IAM-rol. De grens is de resource, en de eenheid van toegang is het verzoek. Een gerouteerde VPN doet iets grovers en breders: hij laat een client toe tot een gedefinieerde netwerkomvang, waarna de applicatie nog steeds beslist wat die client mag doen.

Geen van beide modellen veronderstelt het andere. De poort passeren zegt niets over het lezen van een bepaald record, en op het netwerk zijn zegt niets over de bevoegdheid om te handelen.

Wat de proxy niet dekt, en de VPN wel

SSH-sessies, databaseclients, berichtbrokers en interne hostnamen die geen browser ooit opent, worden niet bereikbaar alleen omdat er een webproxy bestaat. Elk spreekt zijn eigen protocol, en elk heeft ofwel zijn eigen geauthenticeerde pad ofwel een netwerk nodig dat het draagt. Dat is het gat dat mensen op de eerste dag van een migratie ontdekken, meestal van een bereikbaarheidsingenieur met een laptop die geen hostnaam meer kan omzetten.

Het omgekeerde gat is even reêbel. Een VPN die een client tot een subnet toelaat, authenticeert de persoon daarbinnen niet, en een gecompromitteerd apparaat op dat subnet erft wat het netwerk toestaat. Als de eis autorisatie per verzoek met een auditierbare identiteit is, kan routering alleen dat niet opleveren. De meeste organisaties draaien uiteindelijk beide, en de interessante vraag is welke resources elk van beide mag afdekken.

De clientworkflow beslist meer dan het architectuurdiagram

Een browser-login met een redirect en af en toe een MFA-uitdaging is een goede ervaring voor iemand die op een bladwijzer klikt. Een cron-taak, een CLI of een build-agent heeft geen browser en kan geen interactieve prompt beantwoorden, dus heeft hij een gedocumenteerd niet-interactief pad nodig of de tunnel. De ontdekking van die eis gebeurt meestal nadat het ontwerp is goedgekeurd.

Tel de clients voordat u de applicaties telt. Eén dashboard kan honderd mensen bedienen; één databasepoort kan een heel team blokkeren.

De apparaatpostuur is geen eigenschap van een van beide poorten

Het installeren van een VPN-client is geen nalevingscontrole, en een browsergebaseerd ontwerp is niet automatisch ongeschikt om beleid voor beheerde apparaten te respecteren. Beide kunnen integreren met postuursignalen, en beide kunnen zonder die signalen worden uitgerold. Vraag welke handhaving bestaat, wie het beleid bezit en wat er gebeurt met een apparaat dat er niet aan voldoet, in plaats van dat af te leiden uit de vorm van het product.

Dezelfde voorzichtigheid geldt voor het intrekken van toegang. Een groepslidmaatschap in de proxy verwijderen en een certificaat voor de tunnel intrekken zijn verschillende operaties met verschillende vertraging, en een van beide wordt bij het uitdienst gaan meestal vergeten.

Vind de alternatieve routes voordat u iets uit dienst neemt

Een onbeschermde oorsprong achter de proxy, een tweede hostnaam die hem omzeilt, of een brede particuliere route die overblijft uit een eerder ontwerp bepalen welke poort werkelijk van kracht is. Test een toegestane en een geweigerde handeling via de echte client, niet via de console, en test ze vanaf een apparaat dat nooit is ingeschreven. Het geweigerde geval is het geval dat u vertelt of de poort uberhaupt iets doet.

Schrijf daarna de overdracht: inschrijving, updates, het intrekken van toegang en het herstelpad voor iemand die om 2 uur 's nachts buitengesloten is. Een prompt of een clientapplicatie verwijderen verplaatst verantwoordelijkheid tussen teams; het wist de verantwoordelijkheid niet.

Als u deze week beslist, begin dan met een lijst van handelingen in plaats van een lijst van producten, markeer welke een browser kan uitvoeren, en laat de rest de netwerktoegang rechtvaardigen die overleeft.