Potrebujete ešte VPN pre lokalitu, keď aplikácia používa mTLS a SSO?
Prejdite kanály, ktoré prihlásenie do aplikácie nikdy nepokrýva, a potom rozhodnite, či je prístup do privátnej siete nadbytočný, alebo je stále jedinou cestou k hostiteľovi.
Prihlásite sa cez mTLS, riadiaci panel sa načíta a tvrdenie, že VPN pre lokalitu je teraz nadbytočné, znie rozumne približne tak dlho, kým o druhej ráno nepotrebujete obnoviť databázu. Hranica TLS aplikácie opisuje jeden kanál. Hostiteľ, databáza, cieľ zálohy a cloudový účet nesú každý svoju vlastnú cestu vstupu, svoju identitu a svojho schvaľovateľa a žiadny z nich sa necvičí úspešným prihlásením.
Choďte smerom von od prihlasovacej obrazovky
Prihláste sa ako bežný používateľ a zapíšte každý krok, ktorého sa požiadavka dotkne: prehliadač, hrana, listener aplikácie, úložisko relácií, backendové API. Každý krok má vlastníka a rozhodnutie o autentifikácii. Teraz zopakujte cestu pre človeka, ktorý záplatuje hostiteľa, a pre úlohu, ktorá zapisuje nočnú zálohu. Tieto cesty sa zvyčajne rozídu už v prvom kroku.
Práve toto rozídenie je otázka, na ktorú sa oplatí odpovedať. VPN pre lokalitu je nadbytočné len vtedy, keď každý kanál v tejto druhej ceste má vlastnú politiku vstupu a autorizácie, ktorá obstojí sama.
Päť kanálov, ktoré prihlásenie do aplikácie nikdy nepokrýva
Tabuľka nižšie je šablóna inventára, nie kontrolný zoznam nasadenia. Druhý stĺpec vyplňte tým, čo vaše prostredie dnes skutočne vynucuje.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Zdieľanie poskytovateľa identity tieto autorizácie nezlučuje. Používateľ, ktorý smie odoslať požiadavku API, tým nie je oprávnený vymeniť disk virtuálneho stroja ani obnoviť databázu pomocou prihlasovacích údajov aplikácie. NIST v zhrnutí architektúry nulovej dôvery drží autentifikáciu a autorizáciu zdrojov oddelene od sieťovej polohy práve z tohto dôvodu.
Podporný inžinier, ktorý vie prečítať tiket, tým nie je oprávnený otvoriť konzolu na hostiteľovi za ním.
Cesta je skutočná len vtedy, keď alternatíva zostane zatvorená
Obmedzenie dostupnosti na privátne administratívne listenery je legitímna náhrada VPN pre lokalitu, ak sa obmedzenie vynucuje a nielen kreslí. Zvyčajným zlyhaním je alternatívny listener, na ktorý si nikto nespomenul: služba stále viazaná na všetky rozhrania, pravidlo bezpečnostnej skupiny otvorené pre dodávateľa, riadiaci port dostupný z internetu.
Kontrolujte listenery, nie diagramy. Na hostiteľovi vypíšte, čo je skutočne viazané pomocou ss -ltnp, a potvrďte, že administratívne porty sedia na privátnej adrese. V cloudovej konzole si prečítajte prichádzajúce pravidlá pre podsiete pracovnej záťaže a hľadajte 0.0.0.0/0 na čomkoľvek administratívnom. Potom skúste spojenie zvonka privátnej cesty, pretože práve tento test odpovedá na otázku.
Jediné pravidlo otvorené celému svetu na SSH ruší všetky argumenty návrhu tunela.
Napíšte mapu, skôr než porovnáte návrhy
Pre každý riadok inventára zaznamenajte, kto schvaľuje identity, kto aktualizuje pravidlá prístupu, kto odstraňuje prihlasovacie údaje, keď niekto odíde, a kto sa stará o obnovu, keď sa cesta sama pokazí. Štyri mená na riadok stačia na odhalenie riadkov, kde je odpoveďou zdieľaný účet a wiki stránka stará tri roky.
Potom overte jedno povolenie a jedno zamietnutie na každý kanál. Povolenie dokazuje, že zamýšľaná identita môže dosiahnuť zdroj zamýšľanou cestou. Zamietnutie dokazuje, že podobná identita nemôže, a to je test, ktorý ľudia preskakujú, preto alternatívne listenery prežívajú audity. Porovnajte navrhnutý dizajn s týmito výsledkami, nie s konfiguráciou TLS aplikácie, ktorá nikdy žiadny z nich necvičila.
Kde si VPN pre lokalitu ešte zaslúži svoje miesto
Tunel alebo úzka brána je správna odpoveď, keď zdroj nemá vlastnú autentifikáciu na každú požiadavku: porty údržby databáz, ciele záloh, konzoly hypervizora, mimosystémová správa. Tieto listenery dôverujú sieti, takže sieť musí byť tá, ktorá autentifikuje volajúceho.
To nie je jediná odpoveď. Brána, ktorá ukončuje autorizáciu pre každý zdroj, môže byť užšia než tunel na celú podsiete a zanecháva lepšiu auditnú stopu než zdieľaný skokový hostiteľ.
Poradie práce: dokončite inventár, zatvorte alternatívy, overte jedno zamietnutie na riadok a až potom tunel zrušte. Ak riadok nedokáže vytvoriť zamietnutie, ponechajte privátnu cestu, kým to nedokáže.