VPN са више закупаца: заједнички пролаз, по закупцу или по хосту
Тунел није изолација закупаца. Упоредите заједнички пролаз, пролазе по закупцу и везе по хосту по мапирању идентитета, рутирању и укидању.
Одлучите ко прима клијента и шта спречава тог клијента да стигне до ресурса другог закупца. То су две одлуке, а избор IPsec, WireGuard или mesh производа не одговара ни на једну. Тунел који се беспрекорно подиже ипак може оставити сваког закупца у стању да стигне до свих осталих, а преглед који то двоје третира као исто одобрава погрешан дизајн. Прво напишите мапу клијент-ка-ресурсу: администратори, приступ подршке, заједничке услуге и путање које морају остати забрањене.
Почните са мапом, не са производом
Та мапа је први артефакт, и сваки избор испод је само одлука о томе где живи граница која га спроводи. Држите је прегледном: један ред по клијенту, један ред по заједничкој услузи и исписане забрањене путање.
Мапа коју нико не може да прочита је мапа коју нико неће спровести.
Једна тачка пријема и њен проблем мапирања
Сваки смештај одлучује једно оперативно питање, а табела је цело поређење.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Заједнички пролаз централизује пријем и концентрише ризик на једном месту: везу између идентитета закупца и његове политике. Групе или адресе тунела морају се разрешити у исправне дозволе за ресурсе, а различита ознака по клијенту сама по себи ништа не спречава. Одвојени контексти рутирања могу држати преклопљене префиксе када платформа то подржава и дизајн је потпун. Обична заједничка табела рутирања не може разликовати два идентична префикса одредишта само зато што људи иза њих имају различите налоге.
То је тест за већину дизајна. Два закупца која унутар себе нумеришу са 10.0.0.0/8 требају одвојено стање рутирања, а не конвенцију именовања.
Пролаз по закупцу купује границе и системе
Један пролаз по клијенту чини неке административне границе лакшим за објашњење, јер пријем и политика тог клијента стоје заједно. Такође умножава системе којима требају акредитиви, закрпе, надзор и власник. И не намеће један прописани распоред јавних адреса: дељење крајњих тачака, превођење и демултиплексирање протокола зависе од тога шта имплементација заиста подржава.
Избројте системе и људе пре него што избројите безбедносну добит. Дизајн са четири пролаза више него што тим може да закрпи у пракси није изолованији.
Ако се број закупаца мења сваког месеца, том моделу треба прича о аутоматизацији, а не шаблон.
Везе по хосту премештају посао
Веза на свакој хостованој машини не уклања оперативни посао, већ га премешта у животни циклус машине. Упис, политика по машини, ротација кључева и замена постају део обезбеђивања, и падају у истом прозору као и сама машина. За неколико дуговечних хостова на различитим мрежама то је често тачно, а за флоту која је већ изгубила траг о томе која слика где ради, ретко.
Именујте улогу за издавање идентитета, ажурирања, уклањање приступа, надзор и опоравак под сваком опцијом. Затим питајте шта се дешава на дан када један клијент оде.
Укидање припада поређењу
Већина поређења прескаче укидање. Уклањање закупца треба да поништи његове акредитиве, одбаци његову политику, ослободи његове адресе и стање рутирања и остави све остале нетакнутима. Смернице NIST за архитектуру нултог поверења су прави извор овде, јер стављају аутентификацију и ауторизацију на ресурс уместо да верују мрежном положају, а то важи и унутар сопственог сегмента клијента.
Одмерите дозвољене и забрањене токове, поступање са преклопљеним адресама и поступак укидања пре него што одмерите протоколне репере. Затим изаберите транспорт и метод аутентификације који одговарају изабраној граници. Старије име производа, или тврдња да сваки посао мора да се стандардизује на једном протоколу, не решава ништа од тога. Мапа коју сте прву написали решава.