VPN หลายผู้เช่า: เกตเวย์ร่วม ต่อผู้เช่าหรือต่อโฮสต์
อุโมงค์ไม่ใช่การแยกผู้เช่า เปรียบเทียบเกตเวย์ร่วม เกตเวย์ต่อผู้เช่า และการเชื่อมต่อต่อโฮสต์ ในด้านการแมปอัตลักษณ์ การกำหนดเส้นทาง และการปลดระวาง
ตัดสินใจว่าใครรับลูกค้าเข้า และอะไรขัดขวางไม่ให้ลูกค้ารายนั้นเข้าถึงทรัพยากรของผู้เช่ารายอื่น นี่เป็นการตัดสินใจสองข้อ และการเลือก IPsec, WireGuard หรือผลิตภัณฑ์แบบ mesh ไม่ได้ตอบทั้งสองข้อ อุโมงค์ที่ขึ้นได้อย่างสมบูรณ์อาจยังทำให้ผู้เช่าแต่ละรายเข้าถึงกันได้ทั้งหมด และการทบทวนที่ถือว่าทั้งสองเรื่องเป็นเรื่องเดียวกันก็อนุมัติการออกแบบที่ผิด เขียนแผนที่ลูกค้าไปยังทรัพยากรก่อน: ผู้ดูแลระบบ การเข้าถึงของฝ่ายสนับสนุน บริการที่ใช้ร่วมกัน และเส้นทางที่ต้องถูกปฏิเสธต่อไป
เริ่มจากแผนที่ ไม่ใช่จากผลิตภัณฑ์
แผนที่นั้นเป็นเอกสารชิ้นแรก และทุกทางเลือกด้านล่างเป็นเพียงการตัดสินใจว่าเส้นแบ่งเขตที่บังคับใช้มันอยู่ตรงไหน ทำให้ตรวจสอบได้: หนึ่งแถวต่อลูกค้าหนึ่งราย หนึ่งแถวต่อบริการที่ใช้ร่วมกันหนึ่งบริการ และเขียนเส้นทางที่ถูกปฏิเสธไว้
แผนที่ที่ไม่มีใครอ่านได้คือแผนที่ที่ไม่มีใครบังคับใช้
จุดรับเข้าเพียงจุดเดียวและปัญหาเรื่องการแมป
การวางแต่ละแบบถูกตัดสินด้วยคำถามเชิงปฏิบัติการข้อเดียว และตารางคือการเปรียบเทียบทั้งหมด
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
เกตเวย์ร่วมรวมการรับเข้าไว้ที่เดียวและรวมความเสี่ยงไว้ที่เดียว: ความเชื่อมโยงระหว่างอัตลักษณ์ของผู้เช่ากับนโยบายของผู้นั้น กลุ่มหรือที่อยู่ของอุโมงค์ต้องแปลงเป็นสิทธิ์ของทรัพยากรที่ถูกต้อง และการติดป้ายที่แตกต่างกันต่อลูกค้าไม่ได้ป้องกันอะไรด้วยตัวเอง บริบทการกำหนดเส้นทางที่แยกจากกันสามารถเก็บพรีฟิกซ์ที่ทับซ้อนกันได้เมื่อแพลตฟอร์มรองรับและการออกแบบสมบูรณ์ ตารางกำหนดเส้นทางร่วมแบบธรรมดาไม่สามารถแยกพรีฟิกซ์ปลายทางที่เหมือนกันสองอันได้เพียงเพราะคนที่อยู่เบื้องหลังมีบัญชีต่างกัน
นี่คือบททดสอบสำหรับการออกแบบส่วนใหญ่ ผู้เช่าสองรายที่กำหนดหมายเลขภายในด้วย 10.0.0.0/8 ต้องมีสถานะการกำหนดเส้นทางที่แยกจากกัน ไม่ใช่ธรรมเนียมการตั้งชื่อ
เกตเวย์ต่อผู้เช่าซื้อขอบเขตและระบบ
เกตเวย์หนึ่งตัวต่อลูกค้าหนึ่งรายทำให้ขอบเขตการบริหารบางอย่างอธิบายได้ง่าย เพราะการรับเข้าและนโยบายของลูกค้ารายนั้นอยู่ด้วยกัน แต่ก็เพิ่มจำนวนระบบที่ต้องใช้ข้อมูลรับรอง แพตช์ การเฝ้าระวัง และเจ้าของ และไม่ได้บังคับรูปแบบที่อยู่สาธารณะแบบเดียวที่กำหนดไว้: การแบ่งปันปลายทาง การแปลที่อยู่ และการแยกโปรโตคอลขึ้นอยู่กับสิ่งที่ระบบที่นำไปใช้รองรับจริง
นับระบบและคนก่อนนับผลประโยชน์ด้านความปลอดภัย การออกแบบที่มีเกตเวย์มากกว่าที่ทีมแพตช์ได้สี่ตัวไม่ได้แยกออกจากกันมากกว่าในทางปฏิบัติ
ถ้าจำนวนผู้เช่าเปลี่ยนทุกเดือน โมเดลนั้นต้องการเรื่องเล่าของระบบอัตโนมัติ ไม่ใช่เทมเพลต
การเชื่อมต่อต่อโฮสต์ย้ายงาน
การเชื่อมต่อบนเครื่องที่โฮสต์ทุกเครื่องไม่ได้ขจัดงานปฏิบัติการ แต่ย้ายมันไปในวงจรชีวิตของเครื่อง การลงทะเบียน นโยบายต่อเครื่อง การหมุนคีย์ และการเปลี่ยนทดแทนล้วนกลายเป็นส่วนหนึ่งของการจัดเตรียม และล้มเหลวในช่วงเวลาเดียวกับตัวเครื่อง สำหรับโฮสต์อายุยืนไม่กี่เครื่องในเครือข่ายต่างกัน นั่นมักถูกต้อง และสำหรับฝูงเครื่องที่ติดตามไม่ไหวแล้วว่าอิมเมจใดรันอยู่ที่ไหน มักไม่ถูกต้อง
ตั้งชื่อบทบาทสำหรับการออกอัตลักษณ์ การอัปเดต การถอดสิทธิ์การเข้าถึง การเฝ้าระวัง และการกู้คืนภายใต้แต่ละทางเลือก แล้วถามว่าเกิดอะไรขึ้นในวันที่ลูกค้ารายหนึ่งจากไป
การปลดระวางเป็นส่วนหนึ่งของการเปรียบเทียบ
การเปรียบเทียบส่วนใหญ่ข้ามการปลดระวาง การถอดผู้เช่าออกควรทำให้ข้อมูลรับรองของผู้นั้นใช้ไม่ได้ ทิ้งนโยบายของผู้นั้น คืนที่อยู่และสถานะการกำหนดเส้นทาง และปล่อยให้คนอื่นไม่ถูกแตะต้อง แนวทางสถาปัตยกรรมความเชื่อมั่นเป็นศูนย์ของ NIST เป็นเอกสารอ้างอิงที่ถูกต้องตรงนี้ เพราะวางการพิสูจน์ตัวตนและการอนุญาตไว้ที่ทรัพยากรแทนการเชื่อถือตำแหน่งในเครือข่าย และสิ่งนั้นใช้ได้ภายในเซกเมนต์ของลูกค้าเองด้วย
ชั่งน้ำหนักโฟลว์ที่อนุญาตและที่ถูกปฏิเสธ การจัดการที่อยู่ที่ทับซ้อน และขั้นตอนการปลดระวาง ก่อนจะชั่งน้ำหนักเกณฑ์มาตรฐานของโปรโตคอล จากนั้นเลือกการขนส่งและวิธีการพิสูจน์ตัวตนที่เข้ากับขอบเขตที่คุณเลือก ชื่อผลิตภัณฑ์ที่เก่ากว่า หรือข้ออ้างว่าทุกธุรกิจต้องมาตรฐานบนโปรโตคอลเดียว ไม่ได้ตัดสินอะไรในสิ่งเหล่านี้ แผนที่ที่คุณเขียนก่อนคือสิ่งที่ตัดสิน