Treng du framleis ein nettstad-VPN når appen brukar mTLS og SSO?
Gå gjennom kanalane appinnlogginga di aldri dekkjer, og avgjer deretter om privat nettverkstilgang er overflødig eller framleis den einaste vegen til verten.
Du loggar på med mTLS, dashbordet lastar, og påstanden om at nettstad-VPN-en no er overflødig høyrest rimeleg om lag så lenge det tek før du treng å gjenopprette ein database klokka to om natta. TLS-grensa til applikasjonen skildrar éin kanal. Verten, databasen, sikkerheitskopimålet og skjekontoen har kvar si eiga inngangsvei, si eiga identitet og sin eigen godkjenner, og ingen av dei vert prøvde ut av ei vellukka pålogging.
Gå utover frå påloggingsskjermen
Logg på slik ein vanleg brukar gjer, og skriv ned kvart hopp førespurnaden rører: nettlesar, kant, applikasjonslyttar, sesjonslager, backend-API. Kvart hopp har ein eigar og ei autentiseringsavgjerd. Gjenta no vandringa for personen som patchar verten, og for jobben som skriv nattas sikkerheitskopi. Desse vandringane forgreinar seg vanlegvis allereie ved første hopp.
Den forgreininga er spørsmålet som er verdt å svare på. Ein nettstad-VPN er berre overflødig når kvar kanal i den andre vandringa har ein inngangs- og autorisasjonspolicy som står på eigne bein.
Fem kanalar appinnlogginga aldri dekkjer
Tabellen nedanfor er ein inventarmal, ikkje ein sjekkliste for utrulling. Fyll den andre kolonnen med det ditt eige miljø faktisk handhevar i dag.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Deling av éin identitetsleverandør slår ikkje saman desse autorisasjonane. Ein brukar som kan senda ein API-førespurnad, er ikkje dermed autorisert til å byta ut ein VM-disk eller gjenoppretta ein database med legitimasjonen til applikasjonen. NIST held i samandraget av nulltillitsarkitekturen nettopp av denne grunnen autentisering og autorisasjon av ressursar skilde frå nettverksplassering.
Ein støtteingeniør som kan lesa ei sak, er ikkje dermed autorisert til å opna ein konsoll på verten bak henne.
Ein veg er berre ekte viss alternativet held seg stengt
Å avgrensa tilgjengelegheita til private administrative lyttarar er ein legitim erstatning for ein nettstad-VPN, føresett at avgrensinga vert handheva og ikkje berre teikna. Den vanlege feilen er ein alternativ lyttar som ingen hugsa: ei teneste som framleis er bunden til alle grensesnitt, ein sikkerheitsgrupperegel opna for ein underleverandør, ein administrasjonsport som er tilgjengeleg frå internett.
Kontroller lyttarar i staden for diagram. På verten, list opp kva som faktisk er bunde med ss -ltnp, og stadfest at administrasjonsportane sit på ei privat adresse. I skjekonsollen, les innkomande reglar for undernettet til arbeidslasta og sjå etter 0.0.0.0/0 på noko administrativt. Prøv deretter tilkoplinga frå utsida av den private vegen, fordi den testen er den som svarar på spørsmålet.
Éin einaste verdsopen regel på SSH opphevar kvart argument tunneldesignet la fram.
Skriv kartet før du samanliknar design
For kvar rad i inventaret, noter kven som godkjenner identitetar, kven som oppdaterer tilgangsreglane, kven som fjernar legitimasjon når nokon sluttar, og kven som handterer gjenoppretting når vegen sjølv bryt saman. Fire namn per rad er nok til å avdekkja radene der svaret er ein delt konto og ei wikiside frå tre år tilbake.
Valider deretter éi løyve og éi avvising per kanal. Ei løyve beviser at den tiltenkte identiteten kan nå ressursen via den tiltenkte vegen. Ei avvising beviser at ein liknande identitet ikkje kan, og det er testen folk hoppar over, og difor overlever alternative lyttarar revisjonar. Samanlikn det føreslåtte designet med desse resultata, ikkje med TLS-konfigurasjonen til applikasjonen, som aldri prøvde ut nokon av dei.
Kvar ein nettstad-VPN framleis fortener plassen sin
Ein tunnel eller ein smal gateway er det rette svaret når ein ressurs ikkje har eigen autentisering per førespurnad: vedlikehaldsport for databasar, sikkerheitskopimål, hypervisor-konsollar, administrasjon utanfor bandet. Desse lyttarane stolar på nettverket, så nettverket må vere det som autentiserer den som ringer.
Det er ikkje det einaste svaret. Ein gateway som avsluttar autorisasjon per ressurs kan vere smalare enn ein tunnel for heile undernettet og etterlèt eit betre revisjonsspor enn ein delt hoppvert.
Arbeidsrekkjefølgje: fullfør inventaret, lukk alternativa, valider éi avvising per rad, og først då avvikla tunnelen. Viss ei rad ikkje kan produsera ei avvising, hald den private vegen til ho kan.