Treng du framleis ein VPN om du brukar ein Identity-Aware Proxy?

Føresetnaden er slik: når fyrst ein identitetsmedviten proxy står framfor dei interne applikasjonane, er VPN-en berre pynt og klienten kan gå. Det held for eitt smalt tilfelle, ein interaktiv HTTPS-applikasjon som ein person brukar i ein nettlesar, og det sviktar lydlaust alle andre stader. Ein proxy autoriserer ein førespurnad mot ein ressurs; ein VPN slepp ein klient inn i eit nettverksområde, og dei to grensene fell sjeldan saman. Før du pensjonerer ein tunnel, samanlikn operasjonane folka dine faktisk utfører, ikkje produktmerka på diagrammet.

To portar autoriserer ulike ting

Ein applikasjonsport avgjer om denne førespurnaden, frå denne identiteten, kan nå denne verna ressursen. Googles oversyn over Identity-Aware Proxy skildrar nettopp denne forma: eit sentralt autorisasjonslag framfor HTTPS-applikasjonar, styrt av ei IAM-rolle. Grensa er ressursen, og eininga for tilgang er førespurnaden. Ein ruta VPN gjer noko grovare og vidare: han slepp ein klient inn i eit definert nettverksområde, og deretter avgjer applikasjonen framleis kva klienten kan gjere.

Ingen av modellane føreset den andre. Å passere porten seier ingenting om å lese ein bestemd post, og å vere på nettverket seier ingenting om løyve til å handle.

Kva proxyen ikkje dekkjer, og VPN-en dekkjer

SSH-økter, databaseklientar, meldingsmeklarar og interne vertsnamn som ingen nettlesar nokon gong opnar, vert ikkje tilgjengelege berre fordi det finst ein nettproxy. Kvar snakkar sin eigen protokoll, og kvar treng anten sin eigen autentiserte veg eller eit nettverk som ber han. Det er gapet folk oppdagar fyrste dag av ein migrasjon, vanlegvis frå ein vaktingeniør med ein berbar PC som ikkje lenger kan slå opp eit vertsnamn.

Det motsette gapet er like reelt. Ein VPN som slepp ein klient inn i eit subnett, autentiserer ikkje personen inni det, og eit kompromittert apparat på det subnettet arvar det nettverket tillèt. Viss kravet er autorisasjon per førespurnad med ein reviderbar identitet, kan ruting åleine ikkje produsere det. Dei fleste organisasjonar endar med å kjøyre begge, og det interessante spørsmålet er kva ressursar kvar av dei får stå framfor.

Arbeidsflyten til klienten avgjer meir enn arkitekturdiagrammet

Ei nettlesarinnlogging med omdirigering og ei og anna MFA-utfordring er ei god oppleving for ein person som klikkar på eit bokmerke. Ein cron-jobb, ein CLI eller ein byggjeagent har ingen nettlesar og kan ikkje svare på ein interaktiv forespurnad, så han treng ein dokumentert ikkje-interaktiv veg eller tunnelen. Oppdaginga av det kravet skjer vanlegvis etter at designet er godkjent.

Tel klientane før du tel applikasjonane. Eitt dashbord kan tene hundre menneske; éin databaseport kan blokkere eit heilt team.

Tilstanden til apparatet er ikkje eigenskap ved nokon av portane

Installasjon av ein VPN-klient er ikkje ein samsvarskontroll, og eit nettlesarbasert design er ikkje automatisk ute av stand til å etterleve retningslinjer for styrte apparat. Begge kan integrerast med tilstandssignal, og begge kan rullast ut utan dei. Spør kva handheving som finst, kven som eig retningslinja og kva som skjer med eit apparat som sviktar, i staden for å utleie det frå forma til produktet.

Same varsemd gjeld fjerning av tilgang. Å slette eit gruppemedlemskap i proxyen og å kalle tilbake eit sertifikat for tunnelen er ulike operasjonar med ulik forseinking, og éin av dei vert vanlegvis gløymd ved offboarding.

Finn dei alternative vegane før du pensjonerer noko

Eit uverna opphav bak proxyen, eit anna vertsnamn som går rundt han, eller ein brei privat rute til overs frå eit tidlegare design vil avgjere kva port som faktisk gjeld. Test ein tillaten og ein avvist operasjon gjennom den ekte klienten, ikkje gjennom konsollen, og test dei frå eit apparat som aldri har vore registrert. Det avviste tilfellet er det som fortel deg om porten gjer noko i det heile.

Skriv deretter overleveringa: registrering, oppdateringar, fjerning av tilgang og attopprettingsvegen for nokon som er låst ute klokka 2 om natta. Å fjerne ein forespurnad eller ein klientapplikasjon flyttar ansvar mellom team; det slettar ikkje ansvaret.

Viss du avgjer denne veka, start med ei liste over operasjonar i staden for ei liste over produkt, merk kva ein nettlesar kan utføre, og la resten grunngje den nettverkstilgangen som overlever.