යෙදුම mTLS සහ SSO භාවිත කරන විට ඔබට තවමත් අඩවි VPN අවශ්‍යද?
ඔබේ යෙදුම් පිවිසුම කිසිදා ආවරණය නොකරන නාලිකා හරහා ගොස්, පෞද්ගලික ජාල ප්‍රවේශය අනවශ්‍යද නැතහොත් තවමත් සත්කාරකයට ඇති එකම මාර්ගයද යන්න තීරණය කරන්න.
ඔබ mTLS හරහා පිවිසෙනවා, උපකරණ පුවරුව පූරණය වෙනවා, සහ අඩවි VPN දැන් අනවශ්‍ය බවට ඇති ප්‍රකාශය රාත්‍රී දෙකට ඩේටාබේස් එකක් ප්‍රතිසාධනය කිරීමට සිදුවන තෙක් පමණක් සාධාරණ ලෙස පෙනෙයි. යෙදුමේ TLS සීමාව විස්තර කරන්නේ එක් නාලිකාවක් පමණි. සත්කාරකය, ඩේටාබේස්, උපස්ථ ගමනාන්තය සහ ක්ලවුඩ් ගිණුම එකින් එකට තමන්ගේම පිවිසුම් මාර්ගය, තමන්ගේම අනන්‍යතාවය සහ තමන්ගේම අනුමත කරන්නා ඇත, සහ ඒවායින් කිසිවක් සාර්ථක පිවිසුමකින් පරීක්ෂා නොවේ.
පිවිසුම් තිරයේ සිට පිටතට ගමන් කරන්න
සාමාන්‍ය පරිශීලකයෙකු මෙන් පිවිසී, ඉල්ලීම ස්පර්ශ කරන සෑම පියවරක්ම ලියන්න: බ්‍රවුසරය, කෙළවර, යෙදුම් ශ්‍රාවකය, සැසි ගබඩාව, බැකෙන්ඩ් API. සෑම පියවරකටම හිමිකරුවෙකු සහ සත්‍යාපන තීරණයක් ඇත. දැන් සත්කාරකයට පැච් යොදන පුද්ගලයා සඳහා සහ රාත්‍රී උපස්ථය ලියන කාර්යය සඳහා මෙම ගමන නැවත කරන්න. එම මාර්ග සාමාන්‍යයෙන් පළමු පියවරේදීම වෙන් වේ.
එම වෙන්වීම යනු පිළිතුරක් ලැබිය යුතු ප්‍රශ්නයයි. අඩවි VPN අනවශ්‍ය වන්නේ එම දෙවන ගමනේ සෑම නාලිකාවකටම ස්වාධීනව පවතින පිවිසුම් සහ බලය පැවරීමේ ප්‍රතිපත්තියක් ඇති විට පමණි.
යෙදුම් පිවිසුම කිසිදා ආවරණය නොකරන නාලිකා පහ
පහත වගුව ඉන්වෙන්ටරි අච්චුවක් මිස යෙදවීම් පරීක්ෂණ ලැයිස්තුවක් නොවේ. දෙවන තීරුව ඔබේ පරිසරය අද සැබවින්ම බලාත්මක කරන දෙයින් පුරවන්න.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
එක් අනන්‍යතා සැපයුම්කරුවෙකු බෙදා ගැනීම මෙම බලය පැවරීම් එකට නොයොදයි. API ඉල්ලීමක් යැවිය හැකි පරිශීලකයාට එයින් VM තැටියක් ප්‍රතිස්ථාපනය කිරීමට හෝ යෙදුමේ අක්තපත්‍ර සමඟ ඩේටාබේස් ප්‍රතිසාධනය කිරීමට අවසර නැත. NIST ශුන්‍ය විශ්වාස ගෘහ නිර්මාණ සාරාංශයේ හරියටම මෙම හේතුව නිසා සම්පත් සත්‍යාපනය සහ බලය පැවරීම ජාල ස්ථානයෙන් වෙන් කර තබයි.
ටිකට් එකක් කියවිය හැකි ආධාරක ඉංජිනේරුවරයාට එයින් එහි පිටුපස සත්කාරකයේ කොන්සෝලයක් විවෘත කිරීමට අවසර නැත.
මාර්ගය සැබෑ වන්නේ විකල්පය වසා ඇති විට පමණි
ප්‍රවේශය පෞද්ගලික පරිපාලන ශ්‍රාවකයන්ට සීමා කිරීම අඩවි VPN සඳහා නීත්‍යානුකූල ආදේශකයකි, නමුත් සීමාව බලාත්මක කළ යුතුය, ඇඳීම පමණක් නොවේ. සාමාන්‍ය අසාර්ථකත්වය වන්නේ කිසිවෙකු සිහිපත් නොකළ විකල්ප ශ්‍රාවකයයි: සියලුම අතුරුමුහුණත් වලට තවමත් බැඳී ඇති සේවාව, කොන්ත්‍රාත්කරුවෙකු සඳහා විවෘත කළ ආරක්ෂක සමූහ නියමය, අන්තර්ජාලයෙන් ළඟා විය හැකි කළමනාකරණ වරාය.
රූප සටහන් නොව ශ්‍රාවකයන් පරීක්ෂා කරන්න. සත්කාරකයේ ss -ltnp භාවිතයෙන් සැබවින්ම බැඳී ඇති දේ ලැයිස්තුගත කර, පරිපාලන වරාය පෞද්ගලික ලිපිනයක ඇති බව තහවුරු කරන්න. ක්ලවුඩ් කොන්සෝලයේ කාර්ය භාර උපජාලය සඳහා ඇතුළු වන නීති කියවා, ඕනෑම පරිපාලන දෙයක් මත 0.0.0.0/0 සොයන්න. පසුව පෞද්ගලික මාර්ගයෙන් පිටතින් සම්බන්ධතාවය උත්සාහ කරන්න, මන්ද එම පරීක්ෂණයයි ප්‍රශ්නයට පිළිතුරු දෙන්නේ.
SSH මත ලෝකයට විවෘත එකම නියමයක් උමං නිර්මාණයේ සෑම තර්කයක්ම අවලංගු කරයි.
නිර්මාණ සංසන්දනය කිරීමට පෙර සිතියම ලියන්න
ඉන්වෙන්ටරියේ සෑම පේළියක් සඳහාම කවුද අනන්‍යතා අනුමත කරන්නේ, කවුද ප්‍රවේශ නීති යාවත්කාලීන කරන්නේ, කෙනෙකු යන විට කවුද අක්තපත්‍ර ඉවත් කරන්නේ, සහ මාර්ගයම කැඩී යන විට කවුද ප්‍රතිසාධනය හසුරුවන්නේ යන්න සටහන් කරන්න. පේළියකට නම් හතරක් ප්‍රමාණවත්, පිළිතුර බෙදාගත් ගිණුමක් සහ වසර තුනක පැරණි විකි පිටුවක් වන පේළි හෙළිදරව් කිරීමට.
පසුව සෑම නාලිකාවකටම එක් අවසරයක් සහ එක් ප්‍රතික්ෂේපයක් තහවුරු කරන්න. අවසරය සනාථ කරන්නේ අපේක්ෂිත අනන්‍යතාවයට අපේක්ෂිත මාර්ගයෙන් සම්පත් වෙත ළඟා විය හැකි බවයි. ප්‍රතික්ෂේපය සනාථ කරන්නේ සමාන අනන්‍යතාවයකට ළඟා විය නොහැකි බවයි, සහ මිනිසුන් මඟ හරින පරීක්ෂණය එයයි, එබැවින් විකල්ප ශ්‍රාවක විගණනවලින් ගැලවේ. යෝජිත නිර්මාණය මෙම ප්‍රතිඵල සමඟ සසඳන්න, යෙදුමේ TLS වින්‍යාසය සමඟ නොව, එය ඒවායින් කිසිවක් කිසිදා පරීක්ෂා කර නැත.
අඩවි VPN තවමත් තම ස්ථානය දිනාගන්නේ කොහේද
සම්පතකට එක් එක් ඉල්ලීම සඳහා තමන්ගේම සත්‍යාපනයක් නොමැති විට උමගක් හෝ පටු ද්වාරයක් නිවැරදි පිළිතුරයි: ඩේටාබේස් නඩත්තු වරාය, උපස්ථ ගමනාන්ත, හයිපර්වයිසර් කොන්සෝල, පටියෙන් පිටත කළමනාකරණය. එම ශ්‍රාවකයන් ජාලය විශ්වාස කරයි, එබැවින් අමතන්නා සත්‍යාපනය කළ යුත්තේ ජාලයයි.
එය එකම පිළිතුර නොවේ. සෑම සම්පතකටම බලය පැවරීම අවසන් කරන ද්වාරය සම්පූර්ණ උපජාල උමගකට වඩා පටු විය හැකි අතර බෙදාගත් පැනීම් සත්කාරකයකට වඩා හොඳ විගණන ලකුණු තබයි.
කාර්ය අනුපිළිවෙල: ඉන්වෙන්ටරිය සම්පූර්ණ කරන්න, විකල්ප වසන්න, සෑම පේළියකටම එක් ප්‍රතික්ෂේපයක් තහවුරු කරන්න, ඉන්පසු පමණක් උමඟ ඉවත් කරන්න. පේළියකට ප්‍රතික්ෂේපයක් සෑදිය නොහැකි නම්, හැකි වන තෙක් පෞද්ගලික මාර්ගය තබා ගන්න.