Fleirleigetakar-VPN: delt gateway, per leigetakar eller per vert
Ein tunnel er ikkje isolasjon mellom leigetakarar. Samanlikn ein delt gateway, gatewayar per leigetakar og tilkoplingar per vert på identitetskartlegging, ruting og avvikling.
Avgjer kven som slepp ein kunde inn og kva som hindrar den kunden i å nå ressursane til ein annan leigetakar. Det er to avgjerder, og valet av IPsec, WireGuard eller eit mesh-produkt svarer på ingen av dei. Ein tunnel som kjem perfekt opp kan framleis la kvar leigetakar nå alle dei andre, og ein gjennomgang som handsamar dei to som det same godkjenner feil design. Skriv kunde-til-ressurs-kartet fyrst: administratorar, støttetilgang, delte tenester og stiane som må haldast avviste.
Start med kartet, ikkje med produktet
Det kartet er det fyrste artefaktet, og kvart val nedanfor er berre ei avgjerd om kvar grensa som handhevar det bur. Hald det gjennomgåeleg: éi rad per kunde, éi rad per delt teneste og dei avviste stiane skrivne ut.
Eit kart ingen kan lese, er eit kart ingen vil handheve.
Eitt opptakspunkt og kartleggingsproblemet dets
Kvar plassering blir avgjord av eitt operativt spørsmål, og tabellen er heile samanlikninga.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Ein delt gateway sentraliserer opptaket og konsentrerer risikoen på éin stad: koplinga mellom identiteten til ein leigetakar og policyen hans. Grupper eller tunneladresser må løysast til dei rette ressursrettane, og ei anna etikett per kunde hindrar ikkje noko i seg sjølv. Skilde rutingkontekstar kan halde overlappande prefiks når plattformen støttar det og designet er komplett. Ei vanleg delt rutetabell kan ikkje skilje to identiske målprefiks berre fordi folka bak dei har ulike kontoar.
Det er testen for dei fleste design. To leigetakarar som begge nummererer internt med 10.0.0.0/8 treng skild rutingstilstand, ikkje ein namnekonvensjon.
Ein gateway per leigetakar kjøper grenser og system
Éin gateway per kunde gjer nokre administrative grenser enkle å forklare, fordi opptak og policy for den kunden ligg saman. Han multipliserer òg systema som treng legitimasjon, oppdateringar, overvaking og ein eigar. Og han tvingar ikkje éi føreskriven ordning for offentlege adresser: deling av endepunkt, omsetjing og protokolldemultipleksing er avhengig av kva implementasjonen faktisk støttar.
Tel systema og menneska før du tel tryggleiksgevinsten. Eit design med fire gatewayar meir enn teamet rekk å oppdatere er ikkje meir isolert i praksis.
Viss talet på leigetakarar endrar seg kvar månad, treng den modellen ei automatiseringshistorie i staden for ein mal.
Tilkoplingar per vert flyttar arbeidet
Ei tilkopling på kvar verta maskin fjernar ikkje det operative arbeidet, ho flyttar det inn i livssyklusen til maskina. Registrering, policy per maskin, nøkkelrotasjon og utskifting blir ein del av provisjoneringa, og dei feilar i same vindauge som maskina sjølv. For ein handfull langliva vertar på ulike nettverk er det ofte rett, og for ein flåte som alt har mista oversynet over kva avtrykk som køyrer kvar, sjeldan.
Namngje ei rolle for identitetsutsteding, oppdateringar, fjerning av tilgang, overvaking og gjenoppretting under kvart alternativ. Spør så kva som skjer den dagen ein kunde forlèt.
Avvikling høyrer med i samanlikninga
Dei fleste samanlikningar hoppar over avvikling. Fjerning av ein leigetakar bør gjere legitimasjonen ugyldig, droppe policyen, frigjere adressene og rutingstilstanden og la alle andre vere urørte. NIST sitt rettleiiande dokument for nulltillitsarkitektur er rett referanse her, fordi det legg autentisering og autorisasjon på ressursen i staden for å stole på ein nettverksposisjon, og det gjeld òg inne i kunden sitt eige segment.
Vei tillatne og avviste straumar, handtering av overlappande adresser og avviklingsprosedyren før du vei protokollreferansar. Vel så ein transport og ein autentiseringsmetode som passar til grensa du valde. Eit eldre produktnamn, eller påstanden om at kvar verksemd må standardisere på éin protokoll, avgjer ingenting av det. Kartet du skreiv fyrst, gjer det.