Behöver du fortfarande en plats-VPN när appen använder mTLS och SSO?
Gå igenom kanalerna som din appinloggning aldrig täcker, och avgör sedan om åtkomst till det privata nätet är överflödig eller fortfarande den enda vägen till värden.
Du loggar in via mTLS, instrumentpanelen laddas, och påståendet att plats-VPN:en nu är överflödig låter rimligt ungefär så länge det tar innan du behöver återställa en databas klockan två på natten. Applikationens TLS-gräns beskriver en enda kanal. Värden, databasen, säkerhetskopieringsmålet och molnkontot bär var sin egen ingångsväg, sin egen identitet och sin egen godkännare, och ingen av dem prövas av en lyckad inloggning.
Gå utåt från inloggningsskärmen
Logga in som en vanlig användare och skriv ned varje hopp som begäran rör: webbläsare, kant, applikationslyssnare, sessionslager, backend-API. Varje hopp har en ägare och ett autentiseringsbeslut. Upprepa nu vandringen för personen som patchar värden, och för jobbet som skriver nattens säkerhetskopia. Dessa vandringar brukar divergera redan vid första hoppet.
Den divergensen är frågan som är värd att svara på. En plats-VPN är bara överflödig när varje kanal i den andra vandringen har en ingress- och auktoriseringspolicy som står på egna ben.
Fem kanaler som appinloggningen aldrig täcker
Tabellen nedan är en inventeringsmall, inte en checklista för utrullning. Fyll den andra kolumnen med det din egen miljö faktiskt genomdriver i dag.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Delning av en identitetsleverantör slår inte ihop dessa auktoriseringar. En användare som får skicka en API-begäran är inte därmed behörig att byta ut en VM-disk eller återställa en databas med applikationens uppgifter. NIST håller i sammanfattningen av nolltillitsarkitekturen just av denna anledning autentisering och auktorisering av resurser åtskilda från nätverksplacering.
En supporttekniker som kan läsa ett ärende är inte därmed behörig att öppna en konsol på värden bakom den.
En väg är bara verklig om alternativet förblir stängt
Att begränsa nåbarheten till privata administrativa lyssnare är en legitim ersättning för en plats-VPN, förutsatt att begränsningen genomdrivs och inte bara ritas. Det vanliga felet är en alternativ lyssnare som ingen kom ihåg: en tjänst som fortfarande är bunden till alla gränssnitt, en säkerhetsgruppregel öppnad för en underleverantör, en adminport som nås från internet.
Kontrollera lyssnare i stället för diagram. På värden, lista vad som faktiskt är bundet med ss -ltnp och bekräfta att adminportarna sitter på en privat adress. I molnkonsolen, läs inkommande regler för arbetsbelastningens subnät och leta efter 0.0.0.0/0 på något administrativt. Prova sedan anslutningen från utsidan av den privata vägen, för det testet är det som besvarar frågan.
En enda världsöppen regel på SSH upphäver varje argument som tunneldesignen lade fram.
Skriv kartan innan du jämför designer
För varje rad i inventeringen, notera vem som godkänner identiteter, vem som uppdaterar åtkomstreglerna, vem som tar bort uppgifter när någon slutar, och vem som hanterar återställning när vägen själv går sönder. Fyra namn per rad räcker för att avslöja de rader där svaret är ett delat konto och en wikisida från tre år tillbaka.
Validera sedan ett tillstånd och en nekad åtkomst per kanal. Ett tillstånd bevisar att den avsedda identiteten kan nå resursen via den avsedda vägen. En nekad åtkomst bevisar att en liknande identitet inte kan, och det är testet folk hoppar över, och därför överlever alternativa lyssnare revisioner. Jämför den föreslagna designen med dessa resultat, inte med applikationens TLS-konfiguration, som aldrig prövade någon av dem.
Där en plats-VPN fortfarande förtjänar sin plats
En tunnel eller en smal gateway är rätt svar när en resurs inte har egen autentisering per begäran: underhållsportar för databaser, säkerhetskopieringsmål, hypervisor-konsoler, administration utanför bandet. Dessa lyssnare litar på nätet, så nätet måste vara det som autentiserar anroparen.
Det är inte det enda svaret. En gateway som avslutar auktoriseringen per resurs kan vara smalare än en tunnel för hela subnätet och lämnar ett bättre revisionsspår än en delad hoppvärd.
Arbetsordning: slutför inventeringen, stäng alternativen, validera en nekad åtkomst per rad, och avveckla först då tunneln. Om en rad inte kan producera en nekad åtkomst, behåll den privata vägen tills den kan.