Czy nadal potrzebujesz VPN, jeśli używasz Identity-Aware Proxy?

Założenie brzmi tak: gdy tylko przed wewnętrznymi aplikacjami stanie proxy znające tożsamość, VPN jest już tylko dekoracją, a klient może odejść. To prawda w jednym wąskim przypadku, interaktywnej aplikacji HTTPS używanej przez człowieka w przeglądarce, i po cichu zawodzi wszędzie indziej. Proxy autoryzuje żądanie względem zasobu; VPN wpuszcza klienta do zakresu sieci, a te dwie granice rzadko się pokrywają. Zanim wycofasz tunel, porównaj operacje, które twoi ludzie naprawdę wykonują, a nie etykiety produktów na diagramie.

Dwie bramy autoryzują różne rzeczy

Brama aplikacji decyduje, czy to żądanie od tej tożsamości może dotrzeć do tego chronionego zasobu. Omówienie Identity-Aware Proxy od Google opisuje dokładnie ten kształt: centralną warstwę autoryzacji przed aplikacjami HTTPS, sterowaną rolą IAM. Granicą jest zasób, a jednostką dostępu jest żądanie. Trasowany VPN robi coś bardziej zgrubnego i szerszego: wpuszcza klienta do zdefiniowanego zakresu sieci, po czym aplikacja nadal decyduje, co ten klient może robić.

Żaden z modeli nie zakłada drugiego. Przejście przez bramę nic nie mówi o czytaniu konkretnego rekordu, a przebywanie w sieci nic nie mówi o pozwoleniu na działanie.

Czego proxy nie obejmuje, a VPN obejmuje

Sesje SSH, klienci baz danych, brokery komunikatów i wewnętrzne nazwy hostów, których żadna przeglądarka nigdy nie otwiera, nie stają się osiągalne tylko dlatego, że istnieje proxy webowe. Każde mówi własnym protokołem i każde potrzebuje albo własnej uwierzytelnionej ścieżki, albo sieci, która je przenosi. To luka, którą ludzie odkrywają pierwszego dnia migracji, zwykle od inżyniera dyżurnego z laptopem, który nie potrafi już rozwiązać nazwy hosta.

Odwrócona luka jest równie realna. VPN, który wpuszcza klienta do podsieci, nie uwierzytelnia osoby w niej, a zainfekowane urządzenie w tej podsieci dziedziczy to, na co pozwala sieć. Jeśli wymaganiem jest autoryzacja na każde żądanie z audytowalną tożsamością, samo trasowanie tego nie zapewni. Większość organizacji ostatecznie utrzymuje oba, a ciekawe pytanie brzmi, jakie zasoby każde z nich może osłaniać.

Przepływ pracy klienta decyduje o więcej niż diagram architektury

Logowanie w przeglądarce z przekierowaniem i okazjonalnym wyzwaniem MFA to dobre doświadczenie dla osoby klikającej zakładkę. Zadanie cron, CLI lub agent budowania nie ma przeglądarki i nie może odpowiedzieć na interaktywne pytanie, więc potrzebuje udokumentowanej ścieżki nieinteraktywnej albo tunelu. Odkrycie tego wymagania zwykle następuje po zatwierdzeniu projektu.

Policz klientów, zanim policzysz aplikacje. Jeden panel może obsłużyć sto osób; jeden port bazy danych może zablokować cały zespół.

Stan urządzenia nie jest cechą żadnej z bram

Instalacja klienta VPN nie jest kontrolą zgodności, a projekt oparty na przeglądarce nie jest automatycznie niezdolny do respektowania polityki urządzeń zarządzanych. Oba mogą integrować się z sygnałami stanu i oba mogą być wdrażane bez nich. Zapytaj, jakie egzekwowanie istnieje, do kogo należy polityka i co dzieje się z urządzeniem, które jej nie spełnia, zamiast wywodzić to z kształtu produktu.

Ta sama ostrożność dotyczy odbierania dostępu. Usunięcie członkostwa w grupie w proxy i unieważnienie certyfikatu dla tunelu to różne operacje z różnym opóźnieniem, i jedna z nich zwykle zostaje zapomniana przy odejściu z pracy.

Znajdź alternatywne ścieżki, zanim cokolwiek wycofasz

Niechronione źródło za proxy, druga nazwa hosta, która je omija, albo szeroka trasa prywatna pozostała z wcześniejszego projektu zdecydują, która brama faktycznie obowiązuje. Przetestuj operację dozwoloną i odmówioną przez prawdziwego klienta, nie przez konsolę, i przetestuj je z urządzenia, które nigdy nie zostało zarejestrowane. To właśnie przypadek odmowy mówi, czy brama cokolwiek robi.

Potem napisz przekazanie: rejestracja, aktualizacje, odbieranie dostępu i ścieżka odzyskiwania dla kogoś zamkniętego na zewnątrz o 2 w nocy. Usunięcie monitu lub aplikacji klienckiej przenosi odpowiedzialność między zespołami; nie usuwa odpowiedzialności.

Jeśli decydujesz w tym tygodniu, zacznij od listy operacji, a nie listy produktów, zaznacz, które potrafi wykonać przeglądarka, a resztę pozostaw do uzasadnienia tego dostępu sieciowego, który przetrwa.