Večnajemniški VPN: skupni prehod, na najemnika ali na gostitelja
Tunel ni izolacija najemnikov. Primerjajte skupni prehod, prehode na posameznega najemnika in povezave na posameznega gostitelja glede preslikave identitet, usmerjanja in umika.
Odločite, kdo sprejme stranko in kaj tej stranki preprečuje, da bi dosegla vire drugega najemnika. To sta dve odločitvi, in izbira IPsec, WireGuard ali mesh izdelka ne odgovori na nobeno. Tunel, ki se vzpostavi brezhibno, lahko še vedno pusti vsakega najemnika sposobnega doseči vse druge, in pregled, ki obravnava oboje kot isto, odobri napačno zasnovo. Najprej napišite preslikavo od stranke do vira: skrbniki, dostop podpore, skupne storitve in poti, ki morajo ostati zavrnjene.
Začnite s preslikavo, ne z izdelkom
Ta preslikava je prvi artefakt, in vsaka izbira spodaj je le odločitev o tem, kje živi meja, ki jo uveljavlja. Ohranite jo pregledno: ena vrstica na stranko, ena vrstica na skupno storitev in izpisane zavrnjene poti.
Preslikava, ki je nihče ne more prebrati, je preslikava, ki je nihče ne bo uveljavil.
Ena vstopna točka in njen problem preslikave
O vsaki postavitvi odloči eno samo operativno vprašanje, in tabela je celotna primerjava.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Skupni prehod centralizira sprejem in zgošča tveganje na enem mestu: povezavo med identiteto najemnika in njegovo politiko. Skupine ali naslove tunela je treba razrešiti v pravilna dovoljenja za vire, in druga oznaka na stranko sama po sebi ničesar ne prepreči. Ločeni konteksti usmerjanja lahko hranijo prekrivajoče se predpone, ko platforma to podpira in je zasnova popolna. Obična skupna usmerjevalna tabela ne more ločiti dveh enakih ciljnih predpon samo zato, ker imajo ljudje za njima različne račune.
To je preizkus za večino zasnov. Dva najemnika, ki notranje številčita z 10.0.0.0/8, potrebujeta ločeno stanje usmerjanja, ne dogovora o poimenovanju.
Prehod na najemnika kupuje meje in sisteme
En prehod na stranko naredi nekatere upravne meje lahko razložljive, ker sta sprejem in politika te stranke skupaj. Pomnoži pa tudi sisteme, ki potrebujejo poverilnice, popravke, spremljanje in lastnika. In ne vsiljuje enotne predpisane ureditve javnih naslovov: skupna raba končnih točk, prevajanje in demultipleksiranje protokolov so odvisni od tega, kaj izvedba v resnici podpira.
Preštejte sisteme in ljudi, preden preštejete varnostni dobiček. Zasnova s štirimi prehodi več, kot jih ekipa lahko popravi, v praksi ni bolj izolirana.
Če se število najemnikov spreminja vsak mesec, ta model potrebuje zgodbo o avtomatizaciji, ne predloge.
Povezave na gostitelja premaknejo delo
Povezava na vsakem gostujočem stroju ne odpravi operativnega dela, ampak ga premakne v življenjski cikel stroja. Registracija, politika na stroj, rotacija ključev in zamenjava postanejo del zagotavljanja, in spodletijo v istem oknu kot stroj sam. Za nekaj dolgoživih gostiteljev v različnih omrežjih je to pogosto prav, in za floto, ki je že izgubila sled o tem, katera podoba teče kje, redko.
Poimenujte vlogo za izdajo identitet, posodobitve, odvzem dostopa, spremljanje in obnovitev pri vsaki možnosti. Nato vprašajte, kaj se zgodi na dan, ko ena stranka odide.
Umik sodi v primerjavo
Večina primerjav umik izpusti. Odstranitev najemnika bi morala razveljaviti njegove poverilnice, odvreči njegovo politiko, sprostiti njegove naslove in stanje usmerjanja ter pustiti vse druge nedotaknjene. Smernice NIST za arhitekturo ničelnega zaupanja so tukaj pravi vir, ker postavljata preverjanje pristnosti in pooblastila na vir namesto zaupanja v omrežni položaj, in to velja tudi znotraj lastnega segmenta stranke.
Pretehtajte dovoljene in zavrnjene tokove, ravnanje s prekrivajočimi se naslovi in postopek umika, preden pretehtate protokolske merilnike. Nato izberite prenos in metodo preverjanja pristnosti, ki ustrezata izbrani meji. Starejše ime izdelka ali trditev, da se mora vsako podjetje standardizirati na enem protokolu, ne odloči ničesar od tega. Preslikava, ki ste jo napisali prvo, odloči.