VPN wielodzierżawczy: współdzielona brama, na dzierżawcę albo na hosta
Tunel nie jest izolacją dzierżawców. Porównaj współdzieloną bramę, bramy na dzierżawcę i połączenia na hosta pod kątem mapowania tożsamości, routingu i wycofania.
Zdecyduj, kto wpuszcza klienta i co powstrzymuje tego klienta przed dotarciem do zasobów innej dzierżawy. To dwie decyzje, a wybór IPsec, WireGuard czy produktu mesh nie odpowiada na żadną z nich. Tunel, który powstaje bezbłędnie, wciąż może zostawić każdego dzierżawcę w stanie dotarcia do wszystkich innych, a przegląd traktujący te dwie sprawy jako jedną zatwierdza zły projekt. Najpierw napisz mapę klient–zasób: administratorzy, dostęp wsparcia, usługi współdzielone i ścieżki, które muszą pozostać zabronione.
Zacznij od mapy, nie od produktu
Ta mapa to pierwszy artefakt, a każdy wybór poniżej jest tylko decyzją o tym, gdzie mieszka granica, która go egzekwuje. Utrzymuj ją w formie do przeglądu: jeden wiersz na klienta, jeden wiersz na usługę współdzieloną i wypisane zabronione ścieżki.
Mapa, której nikt nie potrafi przeczytać, to mapa, której nikt nie wyegzekwuje.
Jeden punkt przyjęcia i jego problem z mapowaniem
O każdym umiejscowieniu decyduje jedno pytanie operacyjne, a tabela to całe porównanie.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Współdzielona brama centralizuje przyjęcie i skupia ryzyko w jednym miejscu: powiązanie tożsamości dzierżawcy z jego polityką. Grupy lub adresy tunelu muszą przekładać się na właściwe uprawnienia do zasobów, a inna etykieta dla każdego klienta sama z siebie niczego nie blokuje. Osobne konteksty routingu mogą trzymać nakładające się prefiksy, gdy platforma to obsługuje, a projekt jest kompletny. Zwykła współdzielona tablica routingu nie odróżni dwóch identycznych prefiksów docelowych tylko dlatego, że ludzie za nimi mają różne konta.
To test dla większości projektów. Dwie dzierżawy, które wewnętrznie numerują się z 10.0.0.0/8, potrzebują odrębnego stanu routingu, a nie konwencji nazewnictwa.
Brama na dzierżawcę kupuje granice i systemy
Jedna brama na klienta czyni niektóre granice administracyjne łatwymi do wyjaśnienia, bo przyjęcie i polityka tego klienta są razem. Zwielokrotnia też systemy wymagające poświadczeń, poprawek, monitoringu i właściciela. I nie wymusza jednego narzuconego układu adresów publicznych: współdzielenie punktów końcowych, translacja i demultipleksacja protokołów zależą od tego, co implementacja naprawdę obsługuje.
Policz systemy i ludzi, zanim policzysz zysk bezpieczeństwa. Projekt z czterema bramami więcej, niż zespół zdoła załatać, nie jest w praktyce lepiej odizolowany.
Jeśli liczba dzierżaw zmienia się co miesiąc, ten model potrzebuje historii automatyzacji, a nie szablonu.
Połączenia na hosta przenoszą pracę
Połączenie na każdej hostowanej maszynie nie usuwa pracy operacyjnej, tylko przenosi ją do cyklu życia maszyny. Rejestracja, polityka na maszynę, rotacja kluczy i wymiana stają się częścią provisioningu, a zawodzą w tym samym oknie co sama maszyna. Dla garstki długowiecznych hostów w różnych sieciach to często słuszne, a dla floty, która dawno straciła rachubę, który obraz gdzie działa, rzadko.
Nazwij rolę dla wydawania tożsamości, aktualizacji, odbierania dostępu, monitoringu i odzyskiwania w każdej opcji. Potem zapytaj, co dzieje się w dniu, w którym jeden klient odchodzi.
Wycofanie należy do porównania
Większość porównań pomija wycofanie. Usunięcie dzierżawcy powinno unieważnić jego poświadczenia, zrzucić jego politykę, zwolnić jego adresy i stan routingu i pozostawić wszystkich innych nietkniętych. Wytyczne NIST dotyczące architektury zero zaufania to właściwe odniesienie, bo kładą uwierzytelnianie i autoryzację na zasobie zamiast ufać pozycji w sieci, i dotyczy to także wnętrza segmentu klienta.
Zważ przepływy dozwolone i zabronione, obchodzenie się z nakładającymi się adresami i procedurę wycofania, zanim zważysz benchmarki protokołów. Potem wybierz transport i metodę uwierzytelniania pasującą do wybranej granicy. Starsza nazwa produktu albo twierdzenie, że każde przedsiębiorstwo musi standaryzować się na jednym protokole, nie rozstrzyga niczego z tego. Mapa napisana najpierw rozstrzyga.