Да ли вам је још потребан VPN сајта када апликација користи mTLS и SSO?
Прођите кроз канале које пријава у апликацију никада не покрива, а затим одлучите да ли је приступ приватној мрежи сувишан или је и даље једини пут до хоста.
Пријављујете се преко mTLS-а, контролна табла се учитава, а тврдња да је VPN сајта сада сувишан звучи разумно отприлике толико док у два сата ујутру не буде потребно да вратите базу података. TLS граница апликације описује само један канал. Хост, база података, одредиште резервних копија и cloud налог носе сваки своју путању уласка, свој идентитет и свог одобраваоца, и ниједан од њих се не проверава успешном пријавом.
Идите ка споља од екрана за пријаву
Пријавите се као обичан корисник и запишите сваки корак који захтев дотакне: прегледач, ивица, слушалац апликације, складиште сесија, backend API. Сваки корак има власника и одлуку о аутентификацији. Сада поновите путању за особу која крпи хост и за посао који пише ноћну резервну копију. Те путање се обично раздвајају већ на првом кораку.
Управо то раздвајање је питање на које вреди одговорити. VPN сајта је сувишан само када сваки канал у том другом пролазу има сопствену политику уласка и ауторизације која стоји сама.
Пет канала које пријава у апликацију никада не покрива
Табела испод је шаблон инвентара, а не контролна листа за распоређивање. Попуните другу колону оним што ваше окружење данас заиста спроводи.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Дељење једног добављача идентитета не спаја ове ауторизације. Корисник који сме да пошаље API захтев тиме није овлашћен да замени диск виртуелне машине ни да врати базу података помоћу акредитива апликације. NIST у резимеу архитектуре нултог поверења управо из овог разлога држи аутентификацију и ауторизацију ресурса одвојено од мрежне локације.
Инжењер подршке који може да прочита тикет тиме није овлашћен да отвори конзолу на хосту иза њега.
Путања је стварна само ако алтернатива остане затворена
Ограничавање доступности на приватне административне слушаоце легитимна је замена за VPN сајта, под условом да се ограничење спроводи, а не само црта. Уобичајени неуспех је алтернативни слушалац којег се нико није сетио: сервис који је још везан за све интерфејсе, правило сигурносне групе отворено за извођача, управљачки порт доступан са интернета.
Проверавајте слушаоце, а не дијаграме. На хосту наведите шта је заиста везано помоћу ss -ltnp и потврдите да административни портови седе на приватној адреси. У cloud конзоли прочитајте долазна правила за подмрежу радног оптерећења и потражите 0.0.0.0/0 на било чему административном. Затим покушајте везу изван приватне путање, јер тај тест је онај који одговара на питање.
Једно једино правило отворено целом свету на SSH поништава сваки аргумент дизајна тунела.
Напишите мапу пре него што упоредите дизајне
За сваки ред инвентара запишите ко одобрава идентитете, ко ажурира правила приступа, ко уклања акредитиве када неко оде и ко се бави опоравком када се сама путања поквари. Четири имена по реду довољна су да разоткрију редове у којима су одговор заједнички налог и вики страница стара три године.
Затим проверите једно дозвољење и једно одбијање по каналу. Дозвољење доказује да предвиђени идентитет може да стигне до ресурса предвиђеном путањом. Одбијање доказује да сличан идентитет не може, и то је тест који људи прескачу, због чега алтернативни слушаоци преживљавају ревизије. Упоредите предложени дизајн са овим резултатима, а не са TLS конфигурацијом апликације, која никада није проверила ниједан од њих.
Где VPN сајта још увек заслужује своје место
Тунел или уска капија је прави одговор када ресурс нема сопствену аутентификацију по захтеву: портови за одржавање база података, одредишта резервних копија, конзоле хипервизора, управљање ван опсега. Ти слушаоци верују мрежи, па мрежа мора да буде та која аутентификује позиваоца.
То није једини одговор. Капија која завршава ауторизацију по ресурсу може бити ужа од тунела преко целе подмреже и оставља бољи траг ревизије од заједничког хоста за скок.
Редослед рада: завршите инвентар, затворите алтернативе, проверите једно одбијање по реду и тек онда повуците тунел. Ако ред не може да произведе одбијање, држите приватну путању док не може.