VPN ya wapangaji wengi: lango la pamoja, kwa mpangaji au kwa mwenyeji
Handaki si utengano wa wapangaji. Linganisha lango la pamoja, malango kwa kila mpangaji na miunganisho kwa kila mwenyeji kuhusu upangaji wa utambulisho, uelekezaji na uondoaji.
Amua nani anamkaribisha mteja na nini kinamzuia mteja huyo kufikia rasilimali za mpangaji mwingine. Hizi ni maamuzi mawili, na kuchagua IPsec, WireGuard au bidhaa ya mesh hakujibu lolote kati yao. Handaki linalotokea vizuri kabisa bado linaweza kumwacha kila mpangaji akiweza kufikia kila mwingine, na mapitio yanayochukulia vyote viwili kama kitu kimoja yanaidhinisha muundo usiofaa. Kwanza andika ramani ya mteja-hadi-rasilimali: wasimamizi, ufikiaji wa msaada, huduma za pamoja na njia ambazo lazima zibaki zimekataliwa.
Anza na ramani, si kwa bidhaa
Ramani hiyo ni waraka wa kwanza, na kila chaguo hapa chini ni uamuzi tu wa mahali ambapo mpaka unaotekeleza unaishi. Iweze kupitiwa: mstari mmoja kwa kila mteja, mstari mmoja kwa kila huduma ya pamoja na njia zilizokataliwa zimeandikwa.
Ramani ambayo hakuna anayeweza kuisoma ni ramani ambayo hakuna atakayeitekeleza.
Sehemu moja ya kuingia na tatizo lake la upangaji
Kila mahali huamuliwa na swali moja la kiutendaji, na jedwali ndilo ulinganisho wote.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Lango la pamoja hugeuza uingizaji kuwa wa kati na hukusanya hatari mahali pamoja: uhusiano kati ya utambulisho wa mpangaji na sera yake. Vikundi au anwani za handaki lazima zitafsiriwe kuwa ruhusa sahihi za rasilimali, na lebo tofauti kwa kila mteja yenyewe haizuii chochote. Muktadha tofauti wa uelekezaji unaweza kushikilia viambishi vinavyopishana pale jukwaa linapounga mkono na muundo umekamilika. Jedwali la kawaida la uelekezaji la pamoja haliwezi kutofautisha viambishi viwili vya mwisho vinavyofanana kwa sababu tu watu nyuma yao wana akaunti tofauti.
Hii ndiyo jaribio kwa miundo mingi. Wapangaji wawili wanaonambari kwa ndani kwa 10.0.0.0/8 wanahitaji hali tofauti ya uelekezaji, si mkataba wa majina.
Lango kwa kila mpangaji hununua mipaka na mifumo
Lango moja kwa kila mteja hufanya mipaka mingine ya kiutawala iwe rahisi kueleza, kwa sababu uingizaji na sera za mteja huyo ziko pamoja. Pia huzidisha mifumo inayohitaji vitambulisho, viraka, ufuatiliaji na mmiliki. Na haitulazimishi mpangilio mmoja uliowekwa wa anwani za umma: kushiriki vituo vya mwisho, tafsiri na ugawaji wa itifaki hutegemea kile ambacho utekelezaji unasaidia kwa kweli.
Hesabu mifumo na watu kabla ya kuhesabu faida ya usalama. Muundo wenye malango manne zaidi ya ambayo timu inaweza kuviraka si wenye kutengwa zaidi kwa vitendo.
Ikiwa idadi ya wapangaji inabadilika kila mwezi, muundo huo unahitaji hadithi ya uendeshaji kiotomatiki badala ya kiolezo.
Miunganisho kwa kila mwenyeji huhamisha kazi
Muunganisho kwenye kila mashine inayopangishwa hauondoi kazi ya kiutendaji, unaigeuza kwenye mzunguko wa maisha ya mashine. Usajili, sera kwa kila mashine, mzunguko wa funguo na uingizwaji vyote huwa sehemu ya utoaji, na hushindwa katika kipindi kile kile kama mashine yenyewe. Kwa wageni wachache wa maisha marefu kwenye mitandao tofauti hiyo mara nyingi ni sahihi, na kwa kundi ambalo tayari limepoteza hesabu ya picha gani inaendesha wapi, ni mara chache.
Taja jukumu la utoaji wa utambulisho, masasisho, uondoaji wa ufikiaji, ufuatiliaji na urejeshaji chini ya kila chaguo. Kisha uliza nini kinatokea siku ambayo mteja mmoja anaondoka.
Uondoaji ni sehemu ya ulinganisho
Ulinganisho mwingi hupuuza uondoaji. Kuondoa mpangaji kunapaswa kubatilisha vitambulisho vyake, kuangusha sera yake, kuachilia anwani zake na hali ya uelekezaji na kuwaacha wengine wote bila kuguswa. Mwongozo wa NIST wa usanifu wa uaminifu sifuri ndio rejeleo sahihi hapa, kwa sababu unaweka uthibitishaji na uidhinishaji kwenye rasilimali badala ya kuamini nafasi ya mtandao, na hiyo inatumika pia ndani ya sehemu ya mteja mwenyewe.
Pima mitiririko inayoruhusiwa na iliyokataliwa, utunzaji wa anwani zinazopishana na utaratibu wa uondoaji kabla ya kupima vipimo vya itifaki. Kisha chagua usafiri na mbinu ya uthibitishaji inayolingana na mpaka uliochagua. Jina la bidhaa la zamani, au madai kwamba kila biashara lazima isanifu itifaki moja, hakiwezi kuamua lolote la hayo. Ramani uliyoandika kwanza ndiyo inaamua.