பல-குடியிருப்பு VPN: பகிரப்பட்ட நுழைவாயில், ஒவ்வொரு குடியிருப்பாளருக்கோ அல்லது ஒவ்வொரு ஹோஸ்ட்டுக்கோ
சுரங்கப்பாதை என்பது குடியிருப்பாளர் தனிமை அல்ல. பகிரப்பட்ட நுழைவாயில், ஒவ்வொரு குடியிருப்பாளருக்கான நுழைவாயில்கள் மற்றும் ஒவ்வொரு ஹோஸ்ட்டுக்கான இணைப்புகளை அடையாள மேப்பிங், வழியமைப்பு மற்றும் நீக்குதல் அடிப்படையில் ஒப்பிடுங்கள்.
வாடிக்கையாளரை யார் அனுமதிக்கிறார்கள், மற்றொரு குடியிருப்பாளரின் வளங்களை அந்த வாடிக்கையாளர் அடைவதை எது தடுக்கிறது என்பதைத் தீர்மானியுங்கள். இவை இரண்டு முடிவுகள், IPsec, WireGuard அல்லது mesh தயாரிப்பைத் தேர்ந்தெடுப்பது இரண்டிற்கும் பதில் அளிக்காது. சரியாக எழும் சுரங்கப்பாதையும் ஒவ்வொரு குடியிருப்பாளரும் மற்ற அனைவரையும் அடைய அனுமதிக்கலாம், இரண்டையும் ஒன்றாகக் கருதும் மதிப்பாய்வு தவறான வடிவமைப்பை அங்கீகரிக்கிறது. முதலில் வாடிக்கையாளர்-முதல்-வள வரைபடத்தை எழுதுங்கள்: நிர்வாகிகள், ஆதரவு அணுகல், பகிரப்பட்ட சேவைகள் மற்றும் மறுக்கப்பட்டே இருக்க வேண்டிய பாதைகள்.
தயாரிப்பில் அல்ல, வரைபடத்தில் தொடங்குங்கள்
அந்த வரைபடம் முதல் ஆவணம், கீழே உள்ள ஒவ்வொரு தேர்வும் அதை நடைமுறைப்படுத்தும் எல்லை எங்கே உள்ளது என்பதற்கான முடிவு மட்டுமே. அதை மதிப்பாய்வு செய்யக்கூடியதாக வைத்திருங்கள்: ஒவ்வொரு வாடிக்கையாளருக்கும் ஒரு வரி, ஒவ்வொரு பகிரப்பட்ட சேவைக்கும் ஒரு வரி, மறுக்கப்பட்ட பாதைகள் எழுதப்பட்டிருக்க வேண்டும்.
யாரும் படிக்க முடியாத வரைபடம் யாரும் நடைமுறைப்படுத்தாத வரைபடம்.
ஒரு நுழைவு புள்ளி மற்றும் அதன் மேப்பிங் சிக்கல்
ஒவ்வொரு இடமும் ஒரே செயல்பாட்டுக் கேள்வியால் தீர்மானிக்கப்படுகிறது, அட்டவணையே முழு ஒப்பீடு.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
பகிரப்பட்ட நுழைவாயில் அனுமதியை மையப்படுத்தி ஆபத்தை ஒரே இடத்தில் குவிக்கிறது: குடியிருப்பாளர் அடையாளத்திற்கும் அவரது கொள்கைக்கும் இடையிலான தொடர்பு. குழுக்கள் அல்லது சுரங்கப்பாதை முகவரிகள் சரியான வள அனுமதிகளாகத் தீர்க்கப்பட வேண்டும், ஒவ்வொரு வாடிக்கையாளருக்கும் வேறு லேபிள் தானாக எதையும் தடுக்காது. தனி வழியமைப்பு சூழல்கள் தளம் ஆதரித்தால் மற்றும் வடிவமைப்பு முழுமையாக இருந்தால் மேலெழும் முன்னொட்டுகளை வைத்திருக்கலாம். சாதாரண பகிரப்பட்ட வழியமைப்பு அட்டவணை இரண்டு ஒத்த இலக்கு முன்னொட்டுகளை அவற்றின் பின்னால் உள்ளவர்களுக்கு வெவ்வேறு கணக்குகள் உள்ளன என்பதற்காக மட்டும் வேறுபடுத்த முடியாது.
பெரும்பாலான வடிவமைப்புகளுக்கு இதுவே சோதனை. உள்ளே 10.0.0.0/8 உடன் எண்ணிடும் இரண்டு குடியிருப்பாளர்களுக்கு பெயரிடும் மரபு அல்ல, தனி வழியமைப்பு நிலை தேவை.
ஒவ்வொரு குடியிருப்பாளருக்கான நுழைவாயில் எல்லைகளையும் அமைப்புகளையும் வாங்குகிறது
ஒவ்வொரு வாடிக்கையாளருக்கும் ஒரு நுழைவாயில் சில நிர்வாக எல்லைகளை விளக்க எளிதாக்குகிறது, ஏனெனில் அந்த வாடிக்கையாளரின் அனுமதியும் கொள்கையும் ஒன்றாக இருக்கும். இது சான்றுகள், இணைப்புகள், கண்காணிப்பு மற்றும் உரிமையாளர் தேவைப்படும் அமைப்புகளையும் பலமடங்காக்குகிறது. மேலும் இது பொது முகவரிகளின் ஒரே பரிந்துரைக்கப்பட்ட ஏற்பாட்டைத் திணிக்கவில்லை: இறுதிப் புள்ளிகள் பகிர்வு, மொழிபெயர்ப்பு மற்றும் நெறிமுறை டிமல்டிபிளெக்சிங் ஆகியவை செயலாக்கம் உண்மையில் எதை ஆதரிக்கிறது என்பதைப் பொறுத்தது.
பாதுகாப்பு ஆதாயத்தை எண்ணும் முன் அமைப்புகளையும் மக்களையும் எண்ணுங்கள். குழு இணைக்கக்கூடியதை விட நான்கு கூடுதல் நுழைவாயில்கள் உள்ள வடிவமைப்பு நடைமுறையில் அதிக தனிமைப்படுத்தப்பட்டதல்ல.
குடியிருப்பாளர்களின் எண்ணிக்கை ஒவ்வொரு மாதமும் மாறினால், அந்த மாதிரிக்கு டெம்ப்ளேட் அல்ல, தானியக்கக் கதை தேவை.
ஒவ்வொரு ஹோஸ்ட்டுக்கான இணைப்புகள் வேலையை நகர்த்துகின்றன
ஒவ்வொரு ஹோஸ்ட் செய்யப்பட்ட இயந்திரத்திலும் உள்ள இணைப்பு செயல்பாட்டு வேலையை அகற்றாது, அதை இயந்திரத்தின் வாழ்க்கைச் சுழற்சிக்கு நகர்த்துகிறது. பதிவு, ஒவ்வொரு இயந்திரத்திற்கான கொள்கை, விசை சுழற்சி மற்றும் மாற்று அனைத்தும் வழங்கலின் பகுதியாகின்றன, அவை இயந்திரத்தைப் போலவே அதே சாளரத்தில் தோல்வியடைகின்றன. வெவ்வேறு வலையமைப்புகளில் உள்ள சில நீண்ட ஆயுள் ஹோஸ்ட்களுக்கு இது பெரும்பாலும் சரி, எந்த இமேஜ் எங்கே இயங்குகிறது என்ற கணக்கை ஏற்கனவே இழந்த குழுவுக்கு அரிது.
ஒவ்வொரு விருப்பத்தின் கீழும் அடையாள வழங்கல், புதுப்பிப்புகள், அணுகல் நீக்கம், கண்காணிப்பு மற்றும் மீட்புக்கான பாத்திரத்தைப் பெயரிடுங்கள். பின்னர் ஒரு வாடிக்கையாளர் செல்லும் நாளில் என்ன நடக்கிறது என்று கேளுங்கள்.
நீக்குதல் ஒப்பீட்டின் பகுதி
பெரும்பாலான ஒப்பீடுகள் நீக்குதலைத் தவிர்க்கின்றன. குடியிருப்பாளரை நீக்குவது அவரது சான்றுகளை செல்லாததாக்க வேண்டும், கொள்கையை வீழ்த்த வேண்டும், முகவரிகள் மற்றும் வழியமைப்பு நிலையை விடுவிக்க வேண்டும், மற்ற அனைவரையும் தொடாமல் விட வேண்டும். NIST இன் பூஜ்ய-நம்பிக்கை கட்டமைப்பு வழிகாட்டுதல் இங்கே சரியான குறிப்பு, ஏனெனில் அது வலையமைப்பு நிலையை நம்புவதற்குப் பதிலாக அங்கீகாரத்தையும் அதிகாரத்தையும் வளத்தின் மீது வைக்கிறது, அது வாடிக்கையாளரின் சொந்தப் பிரிவுக்குள்ளும் பொருந்தும்.
நெறிமுறை அளவுகோல்களை அளப்பதற்கு முன் அனுமதிக்கப்பட்ட மற்றும் மறுக்கப்பட்ட ஓட்டங்கள், மேலெழும் முகவரிகளின் கையாளுதல் மற்றும் நீக்குதல் நடைமுறையை அளவிடுங்கள். பின்னர் நீங்கள் தேர்ந்தெடுத்த எல்லைக்குப் பொருந்தும் போக்குவரத்து மற்றும் அங்கீகார முறையைத் தேர்வுசெய்யுங்கள். பழைய தயாரிப்பு பெயர், அல்லது ஒவ்வொரு வணிகமும் ஒரே நெறிமுறையில் தரநிலையாக்க வேண்டும் என்ற கூற்று, இவற்றில் எதையும் தீர்மானிக்காது. முதலில் எழுதப்பட்ட வரைபடம் அதைத் தீர்மானிக்கிறது.