బహుళ-అద్దెదారుల VPN: భాగస్వామ్య గేట్వే, ప్రతి అద్దెదారుకు లేదా ప్రతి హోస్ట్కు
టన్నెల్ అద్దెదారుల వేర్పాటు కాదు. భాగస్వామ్య గేట్వే, ప్రతి అద్దెదారుకు గేట్వేలు మరియు ప్రతి హోస్ట్కు కనెక్షన్లను గుర్తింపు మ్యాపింగ్, రూటింగ్ మరియు తొలగింపుపై పోల్చండి.
కస్టమర్ను ఎవరు అనుమతిస్తారు మరియు ఆ కస్టమర్ మరొక అద్దెదారు వనరులను చేరుకోకుండా ఏది ఆపుతుందో నిర్ణయించండి. ఇవి రెండు నిర్ణయాలు, మరియు IPsec, WireGuard లేదా mesh ఉత్పత్తిని ఎంచుకోవడం రెండింటికీ సమాధానం ఇవ్వదు. పరిపూర్ణంగా లేచే టన్నెల్ కూడా ప్రతి అద్దెదారు మిగిలిన అందరినీ చేరుకోవచ్చు, మరియు రెండింటినీ ఒకటే అని భావించే సమీక్ష తప్పు రూపకల్పనను ఆమోదిస్తుంది. మొదట కస్టమర్-నుండి-వనరు మ్యాప్ రాయండి: నిర్వాహకులు, మద్దతు యాక్సెస్, భాగస్వామ్య సేవలు మరియు నిరాకరించబడి ఉండాల్సిన మార్గాలు.
ఉత్పత్తితో కాదు, మ్యాప్తో ప్రారంభించండి
ఆ మ్యాప్ మొదటి పత్రం, మరియు క్రింది ప్రతి ఎంపిక దాన్ని అమలు చేసే సరిహద్దు ఎక్కడ ఉందనే నిర్ణయం మాత్రమే. దాన్ని సమీక్షించదగినదిగా ఉంచండి: ప్రతి కస్టమర్కు ఒక వరుస, ప్రతి భాగస్వామ్య సేవకు ఒక వరుస మరియు నిరాకరించిన మార్గాలు రాయబడి ఉండాలి.
ఎవరూ చదవలేని మ్యాప్ ఎవరూ అమలు చేయని మ్యాప్.
ఒక ప్రవేశ బిందువు మరియు దాని మ్యాపింగ్ సమస్య
ప్రతి స్థానాన్ని ఒకే కార్యాచరణ ప్రశ్న నిర్ణయిస్తుంది, మరియు పట్టిక మొత్తం పోలిక.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
భాగస్వామ్య గేట్వే ప్రవేశాన్ని కేంద్రీకరిస్తుంది మరియు ప్రమాదాన్ని ఒకే చోట కేంద్రీకరిస్తుంది: అద్దెదారు గుర్తింపు మరియు అతని విధానం మధ్య సంబంధం. సమూహాలు లేదా టన్నెల్ చిరునామాలు సరైన వనరు అనుమతులకు పరిష్కరించబడాలి, మరియు ప్రతి కస్టమర్కు వేరే లేబుల్ తనంతట తానే ఏమీ ఆపదు. వేరు రూటింగ్ సందర్భాలు వేదిక మద్దతు ఇచ్చినప్పుడు మరియు రూపకల్పన పూర్తయినప్పుడు అతివ్యాప్త ప్రిఫిక్స్లను ఉంచగలవు. సాధారణ భాగస్వామ్య రూటింగ్ పట్టిక రెండు ఒకే విధమైన గమ్య ప్రిఫిక్స్లను వాటి వెనుక ఉన్న వ్యక్తులకు వేరే ఖాతాలు ఉన్నందున మాత్రమే వేరు చేయలేదు.
చాలా రూపకల్పనలకు ఇదే పరీక్ష. లోపల 10.0.0.0/8 తో సంఖ్యలు ఇచ్చే ఇద్దరు అద్దెదారులకు నామకరణ సంప్రదాయం కాదు, వేరు రూటింగ్ స్థితి అవసరం.
ప్రతి అద్దెదారుకు గేట్వే సరిహద్దులు మరియు వ్యవస్థలను కొంటుంది
ప్రతి కస్టమర్కు ఒక గేట్వే కొన్ని పరిపాలనా సరిహద్దులను వివరించడం సులభం చేస్తుంది, ఎందుకంటే ఆ కస్టమర్ ప్రవేశం మరియు విధానం కలిసి ఉంటాయి. ఇది ఆధారాలు, ప్యాచ్లు, పర్యవేక్షణ మరియు యజమాని అవసరమయ్యే వ్యవస్థలను కూడా గుణిస్తుంది. మరియు ఇది ప్రజా చిరునామాల ఒకే నిర్దేశిత అమరికను రుద్దదు: ముగింపు బిందువుల భాగస్వామ్యం, అనువాదం మరియు ప్రోటోకాల్ డీమల్టిప్లెక్సింగ్ అమలు నిజంగా ఏమి మద్దతు ఇస్తుందనే దానిపై ఆధారపడి ఉంటాయి.
భద్రతా లాభాన్ని లెక్కించే ముందు వ్యవస్థలు మరియు వ్యక్తులను లెక్కించండి. బృందం ప్యాచ్ చేయగల దానికంటే నాలుగు ఎక్కువ గేట్వేలు ఉన్న రూపకల్పన ఆచరణలో ఎక్కువ వేరుచేయబడినది కాదు.
అద్దెదారుల సంఖ్య ప్రతి నెలా మారితే, ఆ నమూనాకు టెంప్లేట్ కాదు, ఆటోమేషన్ కథ అవసరం.
ప్రతి హోస్ట్ కనెక్షన్లు పనిని కదిలిస్తాయి
ప్రతి హోస్ట్ చేసిన మెషీన్పై కనెక్షన్ కార్యాచరణ పనిని తొలగించదు, దాన్ని మెషీన్ జీవిత చక్రంలోకి కదిలిస్తుంది. నమోదు, ప్రతి మెషీన్ విధానం, కీ భ్రమణం మరియు భర్తీ అన్నీ సదుపాయంలో భాగమవుతాయి, మరియు అవి మెషీన్లాగే అదే కాలంలో విఫలమవుతాయి. వేర్వేరు నెట్వర్క్లలో కొన్ని దీర్ఘకాలిక హోస్ట్లకు ఇది తరచుగా సరైనది, మరియు ఏ ఇమేజ్ ఎక్కడ నడుస్తుందో లెక్క ఇప్పటికే పోగొట్టుకున్న సమూహానికి అరుదు.
ప్రతి ఎంపిక క్రింద గుర్తింపు జారీ, నవీకరణలు, ప్రవేశ తొలగింపు, పర్యవేక్షణ మరియు పునరుద్ధరణకు పాత్రను పేర్కొనండి. తర్వాత ఒక కస్టమర్ వెళ్లే రోజు ఏమి జరుగుతుందో అడగండి.
తొలగింపు పోలికలో భాగం
చాలా పోలికలు తొలగింపును దాటవేస్తాయి. అద్దెదారును తొలగించడం అతని ఆధారాలను రద్దు చేయాలి, అతని విధానాన్ని పడేయాలి, అతని చిరునామాలు మరియు రూటింగ్ స్థితిని విడుదల చేయాలి మరియు మిగిలిన అందరినీ తాకకుండా వదలాలి. NIST యొక్క సున్నా-నమ్మక నిర్మాణ మార్గదర్శకం ఇక్కడ సరైన సూచన, ఎందుకంటే ఇది నెట్వర్క్ స్థానాన్ని నమ్మడం బదులు ప్రామాణీకరణ మరియు అధికారాన్ని వనరుపై ఉంచుతుంది, మరియు అది కస్టమర్ సొంత విభాగంలో కూడా వర్తిస్తుంది.
ప్రోటోకాల్ ప్రమాణాలను తూకం వేసే ముందు అనుమతించిన మరియు నిరాకరించిన ప్రవాహాలు, అతివ్యాప్త చిరునామాల నిర్వహణ మరియు తొలగింపు విధానాన్ని తూకం వేయండి. తర్వాత మీరు ఎంచుకున్న సరిహద్దుకు సరిపోయే రవాణా మరియు ప్రామాణీకరణ పద్ధతిని ఎంచుకోండి. పాత ఉత్పత్తి పేరు, లేదా ప్రతి వ్యాపారం ఒకే ప్రోటోకాల్పై ప్రమాణీకరించాలనే వాదన, వీటిలో ఏదీ నిర్ణయించదు. మొదట రాసిన మ్యాప్ నిర్ణయిస్తుంది.