VPN me shumë qiramarrës: portë e përbashkët, për qiramarrës ose për host
Një tunel nuk është izolim i qiramarrësve. Krahasoni një portë të përbashkët, porta për çdo qiramarrës dhe lidhje për çdo host për hartëzimin e identiteteve, rrugëtimin dhe tërheqjen.
Vendosni kush pranon një klient dhe çfarë e pengon atë klient të arrijë burimet e një qiramarrësi tjetër. Këto janë dy vendime, dhe zgjedhja e IPsec, WireGuard ose një produkti mesh nuk i përgjigjet asnjërës. Një tunel që ngrihet në mënyrë të përsosur mund të lërë ende çdo qiramarrës në gjendje të arrijë të gjithë të tjerët, dhe një rishikim që i trajton të dy si të njëjtën gjë miraton dizajnin e gabuar. Fillimisht shkruani hartën klient-në-burim: administratorë, akses mbështetjeje, shërbime të përbashkëta dhe shtigjet që duhet të mbeten të ndaluara.
Filloni me hartën, jo me produktin
Ajo hartë është artefakti i parë, dhe çdo zgjedhje më poshtë është vetëm një vendim për atë se ku jeton kufiri që e zbaton. Mbajeni të rishikueshme: një rresht për klient, një rresht për shërbim të përbashkët dhe shtigjet e ndaluara të shkruara.
Një hartë që askush nuk mund ta lexojë është një hartë që askush nuk do ta zbatojë.
Një pikë pranimi dhe problemi i saj i hartëzimit
Çdo vendosje vendoset nga një pyetje e vetme operative, dhe tabela është i gjithë krahasimi.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Një portë e përbashkët centralizon pranimin dhe përqendron rrezikun në një vend: lidhjen midis identitetit të një qiramarrësi dhe politikës së tij. Grupet ose adresat e tunelit duhet të zgjidhen në lejet e duhura të burimeve, dhe një etiketë e ndryshme për klient nuk pengon asgjë më vete. Kontekstet e ndara të rrugëtimit mund të mbajnë prefikse të mbivendosura kur platforma e mbështet dhe dizajni është i plotë. Një tabelë e përbashkët e thjeshtë rrugëtimi nuk mund të dallojë dy prefikse identike destinacioni vetëm sepse njerëzit pas tyre kanë llogari të ndryshme.
Ky është testi për shumicën e dizajneve. Dy qiramarrës që numërojnë brenda me 10.0.0.0/8 kanë nevojë për gjendje të ndarë rrugëtimi, jo për një konventë emërtimi.
Një portë për qiramarrës blen kufij dhe sisteme
Një portë për klient i bën disa kufij administrativë të lehtë për t'u shpjeguar, sepse pranimi dhe politika për atë klient qëndrojnë bashkë. Ai gjithashtu shumëfishon sistemet që kanë nevojë për kredenciale, arnime, monitorim dhe një pronar. Dhe nuk imponon një rregullim të vetëm të parashkruar të adresave publike: ndarja e pikave fundore, përkthimi dhe demultipleksimi i protokolleve varen nga ajo që implementimi mbështet vërtet.
Numëroni sistemet dhe njerëzit përpara se të numëroni fitimin e sigurisë. Një dizajn me katër porta më shumë sesa ekipi mund të arnojë nuk është më i izoluar në praktikë.
Nëse numri i qiramarrësve lëviz çdo muaj, ai model ka nevojë për një tregim automatizimi dhe jo për një shabllon.
Lidhjet për host e zhvendosin punën
Një lidhje në çdo makinë të strehuar nuk e heq punën operative, e zhvendos atë në ciklin e jetës së makinës. Regjistrimi, politika për makinë, rrotullimi i çelësave dhe zëvendësimi bëhen pjesë e furnizimit, dhe ato dështojnë në të njëjtën dritare si vetë makina. Për një grusht hostesh jetëgjatë në rrjete të ndryshme kjo është shpesh e saktë, dhe për një flotë që tashmë ka humbur gjurmën se cila imazh xhiron ku, rrallë.
Emërtoni një rol për lëshimin e identitetit, përditësimet, heqjen e aksesit, monitorimin dhe rikuperimin në çdo opsion. Më pas pyesni çfarë ndodh ditën kur një klient largohet.
Tërheqja i përket krahasimit
Shumica e krahasimeve e anashkalojnë tërheqjen. Heqja e një qiramarrësi duhet të zhvlerësojë kredencialet e tij, të hedhë politikën e tij, të lirojë adresat dhe gjendjen e rrugëtimit dhe t'i lërë të gjithë të tjerët të paprekur. Udhëzimet e NIST për arkitekturën e besimit zero janë referenca e duhur këtu, sepse vendosin vërtetimin dhe autorizimin mbi burimin në vend që të besojnë një pozicion rrjeti, dhe kjo vlen edhe brenda segmentit të vetë klientit.
Peshoni rrjedhat e lejuara dhe të ndaluara, trajtimin e adresave të mbivendosura dhe procedurën e tërheqjes përpara se të peshoni standardet e protokolleve. Më pas zgjidhni një transport dhe një metodë vërtetimi që i përshtaten kufirit që zgjodhët. Një emër më i vjetër produkti, ose pretendimi se çdo biznes duhet të standardizohet në një protokoll të vetëm, nuk zgjidh asgjë nga këto. Harta që shkruat e para e bën.