VPN s više zakupaca: zajednički pristupnik, pristupnik po zakupcu ili veza po hostu
Tunel nije izolacija zakupaca. Usporedite zajednički pristupnik, pristupnike po zakupcu i veze po hostu po mapiranju identiteta, usmjeravanju i umirovljenju.
Odlučite ko prima klijenta i šta sprečava tog klijenta da dohvati resurse drugog zakupca. To su dvije odluke, a odabir IPsec-a, WireGuard-a ili mesh proizvoda ne odgovara ni na jednu. Tunel koji se besprijekorno podiže i dalje može ostaviti svakog zakupca u stanju da dohvati svakog drugog, a pregled koji te dvije stvari tretira kao istu stvar odobrava pogrešan dizajn. Prvo napišite mapu klijent-prema-resursu: administratori, pristup podrške, zajedničke usluge i putanje koje moraju ostati zabranjene.
Počnite s mapom, ne s proizvodom
Ta mapa je prvi artefakt, a svaki izbor ispod je samo odluka o tome gdje živi granica koja je provodi. Držite je preglednom: jedan red po klijentu, jedan red po zajedničkoj usluzi i ispisane zabranjene putanje.
Mapa koju nitko ne može pročitati je mapa koju nitko neće provoditi.
Jedna točka prijema i njezin problem mapiranja
Svaki smještaj odlučuje jedno operativno pitanje, a tablica je cijela usporedba.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Zajednički pristupnik centralizira prijem i koncentrira rizik na jednom mjestu: vezu između identiteta zakupca i njegove politike. Grupe ili adrese tunela moraju se razriješiti u ispravna dopuštenja za resurse, a različita oznaka po klijentu sama po sebi ništa ne sprječava. Odvojeni konteksti usmjeravanja mogu držati preklapajuće prefikse kada platforma to podržava i dizajn je potpun. Obična zajednička tablica usmjeravanja ne može razlikovati dva identična odredišna prefiksa samo zato što ljudi iza njih imaju različite račune.
To je test za većinu dizajna. Dva zakupca koja se interno numeriraju s 10.0.0.0/8 trebaju odvojeno stanje usmjeravanja, a ne konvenciju imenovanja.
Pristupnik po zakupcu kupuje granice i sustave
Jedan pristupnik po klijentu čini neke administrativne granice lakima za objasniti, jer prijem i politika tog klijenta stoje zajedno. Također umnožava sustave kojima trebaju vjerodajnice, zakrpe, nadzor i vlasnik. I ne nameće jedan propisani raspored javnih adresa: dijeljenje krajnjih točaka, prevođenje i demultipleksiranje protokola ovise o tome što implementacija doista podržava.
Prebrojite sustave i ljude prije nego prebrojite sigurnosnu dobit. Dizajn s četiri pristupnika više nego što tim može zakrpiti nije u praksi izoliraniji.
Ako se broj zakupaca mijenja svaki mjesec, tom modelu treba priča o automatizaciji, a ne predložak.
Veze po hostu premještaju posao
Veza na svakom hostanom stroju ne uklanja operativni posao, nego ga premješta u životni ciklus stroja. Upis, politika po stroju, rotacija ključeva i zamjena postaju dio pripreme i padaju unutar istog prozora kao i sam stroj. Za nekolicinu dugovječnih hostova na različitim mrežama to je često ispravno, a za flotu koja je već izgubila trag o tome koja slika radi gdje rijetko.
Imenujte ulogu za izdavanje identiteta, ažuriranja, uklanjanje pristupa, nadzor i oporavak pod svakom opcijom. Zatim pitajte što se dogodi na dan kad jedan klijent ode.
Umirovljenje pripada usporedbi
Većina usporedbi preskače umirovljenje. Uklanjanje zakupca treba poništiti njegove vjerodajnice, odbaciti njegovu politiku, osloboditi njegove adrese i stanje usmjeravanja i ostaviti sve ostale netaknutima. NIST-ove smjernice za arhitekturu nultog povjerenja ovdje su pravi izvor, jer stavljaju autentifikaciju i autorizaciju na resurs umjesto povjerenja u mrežni položaj, a to vrijedi i unutar klijentovog vlastitog segmenta.
Odmjerite dopuštene i zabranjene tokove, rukovanje preklapajućim adresama i postupak umirovljenja prije nego odmjerite protokolne mjerne vrijednosti. Zatim odaberite prijevoz i metodu autentifikacije koji odgovaraju granici koju ste odabrali. Starije ime proizvoda ili tvrdnja da se svaki posao mora standardizirati na jednom protokolu ne rješava ništa od toga. Mapa koju ste prvi napisali rješava.