பயன்பாடு mTLS மற்றும் SSO பயன்படுத்தும்போது உங்களுக்கு இன்னும் தள VPN தேவையா?
உங்கள் பயன்பாட்டு உள்நுழைவு ஒருபோதும் மறைக்காத வழித்தடங்களில் நடந்து, தனியார் வலையணுகல் தேவையற்றதா அல்லது இன்னும் ஹோஸ்டுக்கான ஒரே வழியா என்பதை முடிவு செய்யுங்கள்.
நீங்கள் mTLS வழியாக உள்நுழைகிறீர்கள், டாஷ்போர்டு ஏற்றப்படுகிறது, தள VPN இப்போது தேவையற்றது என்ற கூற்று இரவு இரண்டு மணிக்கு தரவுத்தளத்தை மீட்டெடுக்க வேண்டியிருக்கும் வரை மட்டுமே நியாயமானதாகத் தெரிகிறது. பயன்பாட்டின் TLS எல்லை ஒரே ஒரு வழித்தடத்தை மட்டுமே விவரிக்கிறது. ஹோஸ்ட், தரவுத்தளம், காப்பு இலக்கு மற்றும் கிளவுட் கணக்கு ஒவ்வொன்றும் அதன் சொந்த நுழைவுப் பாதை, அதன் சொந்த அடையாளம் மற்றும் அதன் சொந்த அனுமதிப்பவரைக் கொண்டுள்ளன, அவற்றில் எதுவும் வெற்றிகரமான உள்நுழைவால் சோதிக்கப்படுவதில்லை.
உள்நுழைவுத் திரையிலிருந்து வெளிப்புறமாக நடக்கவும்
சாதாரண பயனரைப் போல உள்நுழைந்து, கோரிக்கை தொடும் ஒவ்வொரு படியையும் எழுதுங்கள்: உலாவி, விளிம்பு, பயன்பாட்டு ஊடகம், அமர்வு சேமிப்பகம், பின்தள API. ஒவ்வொரு படிக்கும் ஒரு உரிமையாளரும் ஒரு அங்கீகார முடிவும் உண்டு. இப்போது ஹோஸ்டில் இணைப்பை இடுபவருக்கும், இரவு காப்பை எழுதும் வேலைக்கும் இந்த நடைப்பயணத்தை மீண்டும் செய்யுங்கள். அந்தப் பாதைகள் பொதுவாக முதல் படியிலேயே பிரிகின்றன.
அந்தப் பிரிவுதான் பதிலளிக்கத் தகுந்த கேள்வி. இரண்டாவது நடையின் ஒவ்வொரு வழித்தடமும் தனித்து நிற்கும் நுழைவு மற்றும் அங்கீகாரக் கொள்கையைக் கொண்டிருந்தால் மட்டுமே தள VPN தேவையற்றது.
பயன்பாட்டு உள்நுழைவு ஒருபோதும் மறைக்காத ஐந்து வழித்தடங்கள்
கீழே உள்ள அட்டவணை ஒரு சரக்கு படிமம், வரிசைப்படுத்தல் சரிபார்ப்புப் பட்டியல் அல்ல. இரண்டாவது நெடுவரிசையை உங்கள் சூழல் இன்று உண்மையில் நடைமுறைப்படுத்துவதைக் கொண்டு நிரப்புங்கள்.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
ஒரே அடையாள வழங்குநரைப் பகிர்வது இந்த அங்கீகாரங்களை ஒன்றிணைப்பதில்லை. API கோரிக்கையை அனுப்ப அனுமதிக்கப்பட்ட பயனர் அதனால் VM வட்டை மாற்றவோ பயன்பாட்டின் சான்றுகளுடன் தரவுத்தளத்தை மீட்டெடுக்கவோ அதிகாரம் பெறுவதில்லை. NIST பூஜ்ய நம்பிக்கை கட்டமைப்புச் சுருக்கத்தில் சரியாக இந்தக் காரணத்தால் வள அங்கீகாரத்தையும் அனுமதியையும் வலையிடத்திலிருந்து தனித்து வைக்கிறது.
டிக்கெட்டைப் படிக்கக்கூடிய ஆதரவு பொறியாளர் அதனால் அதன் பின்னால் உள்ள ஹோஸ்டில் ஒரு பணியகத்தைத் திறக்க அதிகாரம் பெறுவதில்லை.
மாற்று மூடியிருக்கும்போது மட்டுமே பாதை உண்மையானது
தனியார் நிர்வாக ஊடகங்களுக்கான அணுகலைக் கட்டுப்படுத்துவது தள VPNக்கு செல்லுபடியாகும் மாற்று, ஆனால் கட்டுப்பாடு நடைமுறைப்படுத்தப்பட வேண்டும், வெறுமனே வரையப்படக்கூடாது. வழக்கமான தோல்வி யாரும் நினைவில் வைக்காத மாற்று ஊடகம்: எல்லா இடைமுகங்களிலும் இன்னும் பிணைக்கப்பட்ட சேவை, ஒப்பந்ததாரருக்காகத் திறக்கப்பட்ட பாதுகாப்புக் குழு விதி, இணையத்திலிருந்து அணுகக்கூடிய நிர்வாகத் துறை.
வரைபடங்கள் அல்ல, ஊடகங்களைச் சரிபார்க்கவும். ஹோஸ்டில் ss -ltnp மூலம் உண்மையில் என்ன பிணைக்கப்பட்டுள்ளது என்பதைப் பட்டியலிட்டு, நிர்வாகத் துறைகள் தனியார் முகவரியில் இருப்பதை உறுதிப்படுத்துங்கள். கிளவுட் பணியகத்தில் பணிச்சுமை துணைவலைக்கான உள்வரும் விதிகளைப் படித்து, எந்த நிர்வாகப் பொருளிலும் 0.0.0.0/0 உள்ளதா எனத் தேடுங்கள். பின்னர் தனியார் பாதைக்கு வெளியிலிருந்து இணைப்பை முயற்சிக்கவும், ஏனெனில் அந்தச் சோதனையே கேள்விக்கு பதிலளிக்கிறது.
SSH இல் உலகுக்குத் திறந்த ஒரே விதி சுரங்கப்பாதை வடிவமைப்பின் ஒவ்வொரு வாதத்தையும் ரத்து செய்கிறது.
வடிவமைப்புகளை ஒப்பிடும் முன் வரைபடத்தை எழுதுங்கள்
சரக்கின் ஒவ்வொரு வரிசைக்கும் யார் அடையாளங்களை அனுமதிக்கிறார்கள், யார் அணுகல் விதிகளைப் புதுப்பிக்கிறார்கள், ஒருவர் வெளியேறும்போது யார் சான்றுகளை நீக்குகிறார்கள், பாதையே உடையும்போது யார் மீட்பைக் கையாள்கிறார்கள் என்பதைப் பதிவு செய்யுங்கள். ஒவ்வொரு வரிசைக்கும் நான்கு பெயர்கள் போதும், பதில் பகிரப்பட்ட கணக்கும் மூன்று ஆண்டுப் பழைய விக்கி பக்கமும் ஆகும் வரிசைகளை வெளிக்கொணர.
பின்னர் ஒவ்வொரு வழித்தடத்திற்கும் ஒரு அனுமதியையும் ஒரு மறுப்பையும் சரிபார்க்கவும். அனுமதி, எண்ணப்பட்ட அடையாளம் எண்ணப்பட்ட பாதை வழியாக வளத்தை அடைய முடியும் என்பதை நிரூபிக்கிறது. மறுப்பு, ஒத்த அடையாளம் அடைய முடியாது என்பதை நிரூபிக்கிறது, மக்கள் தவிர்க்கும் சோதனை அதுவே, அதனால்தான் மாற்று ஊடகங்கள் தணிக்கைகளில் தப்பிக்கின்றன. முன்மொழியப்பட்ட வடிவமைப்பை இந்த முடிவுகளுடன் ஒப்பிடுங்கள், பயன்பாட்டின் TLS உள்ளமைவுடன் அல்ல, அது இவற்றில் எதையும் ஒருபோதும் சோதிக்கவில்லை.
தள VPN இன்னும் தனது இடத்தைப் பெறும் இடம்
ஒரு வளத்திற்கு ஒவ்வொரு கோரிக்கைக்கும் அதன் சொந்த அங்கீகாரம் இல்லாதபோது சுரங்கப்பாதை அல்லது குறுகிய நுழைவாயில் சரியான பதில்: தரவுத்தள பராமரிப்புத் துறைகள், காப்பு இலக்குகள், ஹைப்பர்வைசர் பணியகங்கள், பட்டைக்கு வெளியேயான நிர்வாகம். அந்த ஊடகங்கள் வலையை நம்புகின்றன, எனவே அழைப்பவரை அங்கீகரிப்பது வலையாகவே இருக்க வேண்டும்.
இது ஒரே பதில் அல்ல. ஒவ்வொரு வளத்திற்கும் அனுமதியை முடிக்கும் நுழைவாயில் முழு துணைவலை சுரங்கப்பாதையை விடக் குறுகலாக இருக்கலாம், பகிரப்பட்ட தாவல் ஹோஸ்டை விட சிறந்த தணிக்கைத் தடத்தை விட்டுச் செல்கிறது.
வேலை வரிசை: சரக்கை முடிக்கவும், மாற்றுகளை மூடவும், ஒவ்வொரு வரிசைக்கும் ஒரு மறுப்பைச் சரிபார்க்கவும், அதன் பிறகே சுரங்கப்பாதையை நீக்கவும். ஒரு வரிசை மறுப்பை உருவாக்க முடியாவிட்டால், முடியும் வரை தனியார் பாதையை வைத்திருங்கள்.