คุณยังต้องใช้ VPN อยู่หรือไม่ เมื่อใช้ Identity-Aware Proxy

ข้อสมมุติคือนี้ เมื่อพร็อกซีที่รู้จักตัวตนยืนอยู่หน้าแอปพลิเคชันภายใน VPN ก็เป็นเพียงการตกแต่ง และลูกข่ายอาจออกไปได้ ข้อนี้จริงเพียงกรณีแคบแ฼บหนึ่งกรณี คือแอป HTTPS แบบโต้ตอบที่คนใช้ในเบราว์เซอร์ และมันล้มเหลวอย่างงียบ ทุกที่อื่น พร็อกซีอนุญาตคำขอต่อทรัพยากร VPN อนุญาตให้ลูกข่ายเข้าสู่ขอบเขตเครือข่าย และขอบเขตสองอย่างนี้นานๆ จะไม่ตรงกัน ก่อนจะปลดระบบอุโมงค์ ให้เปรียบเทียบการดำเนินงานที่คนของคุณทำจริง ไม่ใช่ป้ายชื่อผลิตภัณฑ์บนแผนภาพ

ประตูสองบานอนุญาตสิ่งที่ต่างกัน

ประตูแอปตัดสินว่าคำขอนี้ จากตัวตนนี้ จะเข้าถึงทรัพยากรที่ป้องกันนี้ได้หรือไม่ ภาพรวม Identity-Aware Proxy ของ Google อธิบายรูปแบบนี้อย่างชัดเจน ชั้นอนุญาตส่วนกลางหน้าแอป HTTPS ที่ขับเคลื่อนด้วยบทบาท IAM ขอบเขตคือทรัพยากร และหน่วยการเข้าถึงคือคำขอ VPN แบบเส้นทางทำสิ่งที่หยาบกว่าและกว้างกว่า คืออนุญาตให้ลูกข่ายเข้าสู่ขอบเขตเครือข่ายที่กำหนด หลังจากนั้นแอปก็ยังตัดสินว่าลูกข่ายนั้นทำอะไรได้บ้าง

ไม่มีรูปแบบใดที่สนนยันอีกรูปแบบหนึ่ง การผ่านประตูไม่บอกอะไรเกี่ยวกับการอ่านบันทึกใดบันทึกหนึ่ง และการอยู่ในเครือข่ายก็ไม่บอกอะไรเกี่ยวกับสิทธิ์ในการกระทำ

สิ่งที่พร็อกซีไม่ครอบคลุม และสิ่งที่ VPN ครอบคลุม

เซสชัน SSH ลูกข่ายฐานข้อมูล ตัวกลางข้อความ และชื่อโฮสต์ภายในที่ไม่มีเบราว์เซอร์ใดเปิดจะไม่เข้าถึงได้เพียงเพราะมีพร็อกซีเว็บ แต่ละอย่างพูดโปรโตคอลของตัวเอง และแต่ละอย่างต้องการเส้นทางที่ยืนยันตัวตนหรือเครือข่ายที่พาสิ่งนั้นไป นี่คือช่องว่างที่คนค้นพบในวันแรกของการย้าย โดยปกติแล้วมาจากวิศวกรที่อยู่เวรหนึ่งที่แล็ปท็อปแปลชื่อโฮสต์ไม่ได้อีกต่อไป

ช่องว่างที่กลับกันก็จริงเหมือนกัน VPN ที่อนุญาตให้ลูกข่ายเข้าสู่ซับเน็ตไม่ยืนยันตัวบุคคลที่อยู่ข้างใน และอุปกรณ์ที่ถูกละเมิดในซับเน็ตนั้นจะได้รับสิ่งที่เครือข่ายอนุญาตทั้งหมดสืบทอด หากข้อกำหนดคือการอนุญาตทุกคำขอด้วยตัวตนที่ตรวจสอบได้ การเส้นทางเพียงอย่างเดียวสร้างสิ่งนั้นไม่ได้ องค์กรส่วนใหญ่สุดท้ายจึงใช้ทั้งสองอย่าง และคำถามที่น่าสนใจคือทรัพยากรใดที่แต่ละอย่างได้ยืนอยูหน้าได้

กระแสงงานของลูกข่ายตัดสินมากกว่าแผนภาพสถาปัตยกรรม

การเข้าสู่ระบบด้วยเบราว์เซอร์พร้อมการเปลี่ยนเส้นทางและการท้าทาย MFA เป็นประสบการณ์ที่ดีสำหรับคนที่คลิกบุ๊กมาร์ค งาน cron CLI หรือเอเยนต์สร้างไม่มีเบราว์เซอร์และตอบคำถามแบบโต้ตอบไม่ได้ ดังนั้นจึงต้องการเส้นทางที่ไม่โต้ตอบซึ่งมีเอกสารรับรอง หรืออุโมงค์ การค้นพบข้อกำหนดนั้นโดยปกติเกิดขึ้นหลังจากอนุมัติการออกแบบ

นับลูกข่ายก่อนนับแอปพลิเคชัน แดชบอร์ดหนึ่งอันสามารถให้บริการคนหนึ่งร้อยคนได้ พอร์ตฐานข้อมูลหนึ่งอันสามารถปิดกั้นทั้งทีมได้

สภาพอุปกรณ์ไม่ใช่คุณสมบัติของประตูใด

การติดตั้งลูกข่าย VPN ไม่ใช่การตรวจสอบการปฏิบัติตามกฎ และการออกแบบที่อิงเบาร์เซอร์ก็ไม่ได้หมายความว่าไม่สามารถปฏิบัตินโยบายอุปกรณ์ที่จัดการได้ ทั้งสองอย่างสามารถเชื่อมต่อกับสัญญาณสภาพได้ และทั้งสองอย่างสามารถนำไปใช้โดยไม่มีสัญญาณเหล่านั้นได้ ถามว่ามีการบังคับใช้อะไร ใครเป็นเจ้าของนโยบาย และเกิดอะไรขึ้นกับอุปกรณ์ที่ไม่ผ่านแทนที่จะสรุปจากรูปร่างของผลิตภัณฑ์

ความระมัดระวังเหมือนกันใช้กับการถอนสิทธิ์ด้วย การลบสมาชิกกลุ่มในพร็อกซีและการเพิกถอนใบรับรองสำหรับอุโมงค์เป็นการกระทำที่ต่างกันด้วยความล่าช้าต่างกัน และหนึ่งในสองอย่างนั้นมักถูกลืมเมื่อพนักงานลาออก

ค้นเส้นทางทางเลือกก่อนปลดระบบอะไรสักอย่าง

ต้นกำเนิดที่ไม่ถูกป้องกันหลังพร็อกซี ชื่อโฮสต์ที่สองที่อ้อมหลีกมัน หรือเส้นทางส่วนตัวกว้างที่เหลือจากการออกแบบก่อนจะเป็นตัวกำหนดว่าประตูใดมีผลจริง ทดสอบการกระทำที่อนุญาตและที่ถูกปฏิเสธผ่านลูกข่ายจริง ไม่ใช่ผ่านคอนโซล และทดสอบจากอุปกรณ์ที่ไม่เคยลงทะเบียน กรณีที่ถูกปฏิเสธคือกรณีที่บอกว่าประตูทำอะไรอยู่จริงหรือไม่

จากนั้นเขียนการส่งมอบ คือ การลงทะเบียน การอัปเดต การถอนสิทธิ์เข้าถึง และเส้นทางกู้คืนสำหรับคนที่ถูกล็อกอยู่ข้างนอกเวลา 2 นาที การลบข้อความหรือแอปพลิเคชันของลูกข่ายย้ายความรับผิดชอบระหว่างทีม มันไม่ได้ลบความรับผิดชอบ

หากคุณตัดสินในสัปดาห์นี้ ให้เริ่มจากรายการกระทำแทนรายการผลิตภัณฑ์ ทำเครื่องหมายสิ่งที่เบราว์เซอร์ทำได้ และส่วนที่เหลือให้สนับสนุนการเข้าถึงเครือข่ายที่ยังคงอยู่