Ali še vedno potrebujete VPN, če uporabljate Identity-Aware Proxy?

Predpostavka je naslednja: ko se pred notranjimi aplikacijami postavi proxy, ki pozna identiteto, je VPN le okras in odjemalec lahko odide. To velja za en ozek primer, interaktivno aplikacijo HTTPS, ki jo človek uporablja v brskalniku, in tiho odpove povsod drugje. Proxy avtorizira zahtevo proti viru; VPN spusti odjemalca v omrežni obseg, in ti dve meji se redko prekrivata. Preden tunel umaknete, primerjajte operacije, ki jih vaši ljudje dejansko izvajajo, ne oznak izdelkov na diagramu.

Dve vrati avtorizirata različne stvari

Vrata aplikacije odločajo, ali lahko ta zahteva s te identitete doseže ta zaščiteni vir. Googlov pregled Identity-Aware Proxy opisuje natanko to obliko: osrednjo plast avtorizacije pred aplikacijami HTTPS, ki jo vodi vloga IAM. Meja je vir, enota dostopa pa zahteva. Usmerjeni VPN naredi nekaj bolj grobega in širšega: spusti odjemalca v določen omrežni obseg, nato pa aplikacija še vedno odloča, kaj ta odjemalec sme početi.

Noben model ne predpostavlja drugega. Prehod skozi vrata ne pove ničesar o branju določenega zapisa, bivanje v omrežju pa ne pove ničesar o dovoljenju za delovanje.

Česa proxy ne pokriva in kaj VPN pokriva

Seje SSH, odjemalci podatkovnih zbirk, posredniki sporočil in notranja imena gostiteljev, ki jih noben brskalnik nikoli ne odpre, ne postanejo dosegljiva samo zato, ker obstaja spletni proxy. Vsak govori svoj protokol in vsak potrebuje bodisi svojo avtenticirano pot bodisi omrežje, ki jo prenaša. To je vrzel, ki jo ljudje odkrijejo prvi dan selitve, običajno od dežurnega inženirja s prenosnikom, ki ne more več razrešiti imena gostitelja.

Obratna vrzel je enako resnična. VPN, ki spusti odjemalca v podomrežje, ne avtenticira osebe v njem, ogrožena naprava v tem podomrežju pa podeduje, kar omrežje dovoljuje. Če je zahteva avtorizacija ob vsaki zahtevi z revidirljivo identiteto, samo usmerjanje tega ne more ustvariti. Večina organizacij na koncu izvaja oboje, zanimivo vprašanje pa je, katerim virom sme kdo stati pred njimi.

Potek dela odjemalca odloči več kot arhitekturni diagram

Prijava v brskalniku s preusmeritvijo in občasnim izzivom MFA je dobra izkušnja za človeka, ki klikne zaznamek. Opravilo cron, CLI ali graditeljski agent nima brskalnika in ne more odgovoriti na interaktivno poziv, zato potrebuje dokumentirano neinteraktivno pot ali tunel. Odkritje te zahteve se običajno zgodi po odobritvi zasnove.

Preštejte odjemalce, preden preštejete aplikacije. Ena nadzorna plošča lahko služi stotim ljudem; ena vrata podatkovne zbirke lahko blokirajo celotno ekipo.

Stanje naprave ni lastnost nobenih vrat

Namestitev odjemalca VPN ni preverjanje skladnosti in zasnova, ki temelji na brskalniku, ni samodejno nezmožna spoštovati pravilnika za upravljane naprave. Oba se lahko povežeta s signali stanja in oba se lahko uvedeta brez njih. Vprašajte, kakšno uveljavljanje obstaja, kdo je lastnik pravilnika in kaj se zgodi z napravo, ki ga krši, namesto da bi to sklepali iz oblike izdelka.

Enaka previdnost velja pri odvzemu dostopa. Brisanje članstva v skupini v proxyju in preklic potrdila za tunel sta različni operaciji z različno zakasnitvijo in ena od njiju se ob odhodu običajno pozabi.

Preden karkoli umaknete, poiščite alternativne poti

Nezavarovan izvor za proxyjem, drugo ime gostitelja, ki ga obide, ali široka zasebna pot, ki je ostala od prejšnje zasnove, bodo odločili, katera vrata dejansko veljajo. Preizkusite dovoljeno in zavrnjeno operacijo skozi pravega odjemalca, ne skozi konzolo, in ju preizkusite z naprave, ki ni bila nikoli vpisana. Zavrnjeni primer je tisti, ki vam pove, ali vrata sploh kaj počnejo.

Nato napišite predajo: vpis, posodobitve, odvzem dostopa in pot za obnovitev za nekoga, ki je ob 2 uri zjutraj zaklenjen zunaj. Odstranitev poziva ali odjemalske aplikacije premakne odgovornost med ekipami; ne izbriše je.

Če se odločate ta teden, začnite s seznamom operacij namesto s seznamom izdelkov, označite, katere zmore brskalnik, preostale pa naj upravičijo tisti omrežni dostop, ki ostane.