Ali še potrebujete VPN za lokacijo, ko aplikacija uporablja mTLS in SSO?
Prehodite kanale, ki jih prijava v aplikacijo nikoli ne pokrije, in se nato odločite, ali je dostop do zasebnega omrežja odveč ali je še vedno edina pot do gostitelja.
Prijavite se prek mTLS, nadzorna plošča se naloži, in trditev, da je VPN za lokacijo zdaj odveč, zveni razumno približno toliko časa, dokler ob dveh zjutraj ne potrebujete obnovitve baze podatkov. Meja TLS aplikacije opisuje en sam kanal. Gostitelj, baza podatkov, cilj varnostnih kopij in račun v oblaku nosijo vsak svojo vstopno pot, svojo identiteto in svojega odobritelja, in nobenega od njih ne preizkusi uspešna prijava.
Pojdite navzven od prijavnega zaslona
Prijavite se kot običajen uporabnik in zapišite vsak korak, ki se ga zahteva dotakne: brskalnik, rob, poslušalec aplikacije, shramba sej, backend API. Vsak korak ima lastnika in odločitev o overjanju. Zdaj ponovite pot za osebo, ki popravlja gostitelja, in za opravilo, ki piše nočno varnostno kopijo. Te poti se običajno razidejo že na prvem koraku.
Prav to razidev je vprašanje, na katero se je vredno odzvati. VPN za lokacijo je odveč le, kadar ima vsak kanal te druge poti samostojno politiko vstopa in avtorizacije.
Pet kanalov, ki jih prijava v aplikacijo nikoli ne pokrije
Spodnja tabela je predloga za popis, ne kontrolni seznam za uvajanje. Drugi stolpec izpolnite s tem, kar vaše okolje danes resnično uveljavlja.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Skupni ponudnik identitete teh avtorizacij ne združi. Uporabnik, ki sme poslati zahtevo API, s tem ni pooblaščen zamenjati diska navideznega stroja ali obnoviti baze podatkov s poverilnicami aplikacije. NIST v povzetku arhitekture ničelnega zaupanja prav zaradi tega ohranja overjanje in avtorizacijo virov ločeni od omrežne lokacije.
Inženir podpore, ki zna prebrati zahtevek, s tem ni pooblaščen odpreti konzole na gostitelju za njim.
Pot je resnična le, če alternativa ostane zaprta
Omejevanje dosegljivosti na zasebne administrativne poslušalce je zakonita zamenjava za VPN za lokacijo, če se omejitev uveljavlja in ni le narisana. Običajna napaka je nadomestni poslušalec, na katerega se ni nihče spomnil: storitev, ki je še vedno vezana na vse vmesnike, pravilo varnostne skupine, odprto za izvajalca, upravljalna vrata, dosegljiva z interneta.
Preverjajte poslušalce, ne diagrame. Na gostitelju naštejte, kaj je resnično vezano z ss -ltnp, in potrdite, da so administrativna vrata na zasebnem naslovu. V konzoli oblaka preberite dohodna pravila za podomrežje delovne obremenitve in poiščite 0.0.0.0/0 na čemur koli administrativnem. Nato poskusite povezavo od zunaj zasebne poti, ker prav ta preizkus odgovori na vprašanje.
Eno samo pravilo, odprto vsemu svetu na SSH, izniči vse argumente zasnove tunela.
Napišite zemljevid, preden primerjate zasnove
Za vsako vrstico popisa zapišite, kdo odobri identitete, kdo posodablja pravila dostopa, kdo odstrani poverilnice, ko nekdo odide, in kdo skrbi za obnovitev, ko se pot sama zlomi. Štiri imena na vrstico zadoščajo, da razkrijejo vrstice, kjer je odgovor skupni račun in tri leta stara wikistran.
Nato preverite eno dovoljenje in eno zavrnitev na kanal. Dovoljenje dokazuje, da predvidena identiteta lahko doseže vir po predvideni poti. Zavrnitev dokazuje, da podobna identiteta ne more, in prav ta preizkus ljudje izpustijo, zato nadomestni poslušalci preživijo revizije. Primerjajte predlagano zasnovo s temi rezultati, ne s konfiguracijo TLS aplikacije, ki ni nikoli preizkusila nobenega od njih.
Kjer si VPN za lokacijo še zasluži svoje mesto
Tunel ali ozka vrata so pravi odgovor, ko vir nima lastnega overjanja na zahtevo: vrata za vzdrževanje baz podatkov, cilji varnostnih kopij, konzole hipervizorja, upravljanje zunaj pasu. Ti poslušalci zaupajo omrežju, zato mora biti omrežje tisto, ki overi klicatelja.
To ni edini odgovor. Vrata, ki zaključijo avtorizacijo za vsak vir, so lahko ožja od tunela čez celotno podomrežje in pustijo boljšo revizijsko sled kot skupni preskočni gostitelj.
Vrstni red dela: dokončajte popis, zaprite alternative, preverite eno zavrnitev na vrstico in šele nato umaknite tunel. Če vrstica ne more ustvariti zavrnitve, obdržite zasebno pot, dokler je ne more.