Multi-tenantný VPN: zdieľaná brána, na nájomcu alebo na hostiteľa
Tunel nie je izolácia nájomcov. Porovnajte zdieľanú bránu, brány na každého nájomcu a pripojenia na každého hostiteľa z hľadiska mapovania identít, smerovania a vyradenia.
Rozhodnite, kto prijíma zákazníka a čo tomuto zákazníkovi bráni dostať sa k prostriedkom iného nájomcu. Sú to dve rozhodnutia a výber IPsec, WireGuard alebo mesh produktu neodpovedá ani na jedno. Tunel, ktorý sa nadviaže bezchybne, môže stále nechať každého nájomcu dosiahnuť všetkých ostatných, a recenzia, ktorá obe veci považuje za to isté, schvaľuje nesprávny návrh. Najprv napíšte mapu zákazník–prostriedok: správcovia, prístup podpory, zdieľané služby a cesty, ktoré musia zostať zakázané.
Začnite mapou, nie produktom
Tá mapa je prvý artefakt a každá voľba nižšie je len rozhodnutím o tom, kde žije hranica, ktorá ju vynucuje. Udržte ju kontrolovateľnú: jeden riadok na zákazníka, jeden riadok na zdieľanú službu a vypísané zakázané cesty.
Mapa, ktorú nikto neprečíta, je mapa, ktorú nikto nevynúti.
Jeden vstupný bod a jeho problém mapovania
O každom umiestnení rozhoduje jediná prevádzková otázka a tabuľka je celé porovnanie.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Zdieľaná brána centralizuje prijímanie a sústreďuje riziko na jednom mieste: väzbu medzi identitou nájomcu a jeho politikou. Skupiny alebo adresy tunela sa musia preložiť na správne oprávnenia k prostriedkom, a iná značka pre každého zákazníka sama o sebe ničomu nezabráni. Oddelené kontexty smerovania môžu držať prekrývajúce sa prefixy, keď to platforma podporuje a návrh je úplný. Obyčajná zdieľaná smerovacia tabuľka nedokáže rozlíšiť dva rovnaké cieľové prefixy len preto, že ľudia za nimi majú rôzne účty.
To je test pre väčšinu návrhov. Dvaja nájomcovia, ktorí interne číslujú s 10.0.0.0/8, potrebujú oddelený smerovací stav, nie konvenciu pomenovania.
Brána na nájomcu kupuje hranice a systémy
Jedna brána na zákazníka robí niektoré administratívne hranice ľahko vysvetliteľnými, pretože prijímanie a politika tohto zákazníka sú spolu. Tiež znásobuje systémy, ktoré potrebujú prihlasovacie údaje, záplaty, monitorovanie a vlastníka. A nevnucuje jedno predpísané usporiadanie verejných adries: zdieľanie koncových bodov, preklad a demultiplexovanie protokolov závisia od toho, čo implementácia naozaj podporuje.
Spočítajte systémy a ľudí skôr, než spočítate bezpečnostný zisk. Návrh so štyrmi bránami navyše, než tím stíha záplatať, nie je v praxi izolovanejší.
Ak sa počet nájomcov každý mesiac mení, tento model potrebuje príbeh automatizácie, nie šablónu.
Pripojenia na hostiteľa presúvajú prácu
Pripojenie na každom hostovanom stroji neodstraňuje prevádzkovú prácu, presúva ju do životného cyklu stroja. Registrácia, politika na stroj, rotácia kľúčov a výmena sa stávajú súčasťou provisioningu a zlyhávajú v tom istom okne ako samotný stroj. Pre hŕstku dlhovekých hostiteľov v odlišných sieťach je to často správne, a pre flotilu, ktorá už stratila prehľad o tom, ktorý obraz kde beží, zriedka.
Pomenujte rolu pre vydávanie identít, aktualizácie, odobratie prístupu, monitorovanie a obnovu pri každej možnosti. Potom sa opýtajte, čo sa stane v deň, keď jeden zákazník odíde.
Vyradenie patrí do porovnania
Väčšina porovnaní vyradenie vynecháva. Odstránenie nájomcu by malo zneplatniť jeho prihlasovacie údaje, zhodiť jeho politiku, uvoľniť jeho adresy a smerovací stav a nechať všetkých ostatných nedotknutých. Usmernenia NIST k architektúre nulovej dôvery sú tu správnym odkazom, pretože stavajú overovanie a autorizáciu na prostriedok namiesto dôvery v sieťovú pozíciu, a to platí aj vnútri vlastného segmentu zákazníka.
Zvážte povolené a zakázané toky, zaobchádzanie s prekrývajúcimi sa adresami a postup vyradenia, skôr než zvážite protokolové benchmarky. Potom zvoľte transport a metódu overovania, ktoré zodpovedajú zvolenej hranici. Starší názov produktu alebo tvrdenie, že každá firma sa musí štandardizovať na jedinom protokole, nič z toho nerieši. Mapa, ktorú ste napísali prvú, to rieši.