Çok kiracılı VPN: paylaşılan ağ geçidi, kiracı başına mı yoksa ana makine başına mı
Tünel kiracı yalıtımı değildir. Paylaşılan bir ağ geçidini, kiracı başına ağ geçitlerini ve ana makine başına bağlantıları kimlik eşleme, yönlendirme ve hizmetten çıkarma açısından karşılaştırın.
Bir müşteriyi kimin kabul ettiğine ve o müşterinin başka bir kiracının kaynaklarına ulaşmasını neyin engellediğine karar verin. Bunlar iki karardır ve IPsec, WireGuard ya da mesh ürün seçmek ikisine de yanıt vermez. Kusursuz biçimde kurulan bir tünel bile her kiracının diğerlerine ulaşabilmesine izin verebilir ve bu ikisini aynı şey sayan bir inceleme yanlış tasarımı onaylar. Önce müşteriden kaynağa haritayı yazın: yöneticiler, destek erişimi, paylaşılan hizmetler ve reddedilmiş kalması gereken yollar.
Ürünle değil haritayla başlayın
O harita ilk belgedir ve aşağıdaki her seçim yalnızca onu uygulayan sınırın nerede yaşadığına dair bir karardır. Onu incelenebilir tutun: müşteri başına bir satır, paylaşılan hizmet başına bir satır ve reddedilen yollar yazılı.
Kimsenin okuyamadığı bir harita, kimsenin uygulamayacağı bir haritadır.
Tek bir kabul noktası ve eşleme sorunu
Her yerleşim tek bir operasyonel soruyla belirlenir ve tablo karşılaştırmanın tamamıdır.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Paylaşılan bir ağ geçidi kabulü merkezileştirir ve riski tek yerde toplar: kiracı kimliği ile politikası arasındaki bağ. Grupların veya tünel adreslerinin doğru kaynak izinlerine çözülmesi gerekir ve müşteri başına farklı bir etiket kendi başına hiçbir şeyi engellemez. Ayrı yönlendirme bağlamları, platform desteklediğinde ve tasarım eksiksiz olduğunda çakışan önekleri tutabilir. Sıradan paylaşılan bir yönlendirme tablosu, arkalarındaki insanların farklı hesapları olduğu için iki özdeş hedef önekini ayıramaz.
Çoğu tasarım için sınav budur. İçeride 10.0.0.0/8 ile numaralandıran iki kiracının adlandırma kuralına değil, ayrı yönlendirme durumuna ihtiyacı vardır.
Kiracı başına ağ geçidi sınırlar ve sistemler satın alır
Müşteri başına bir ağ geçidi bazı yönetim sınırlarını açıklamayı kolaylaştırır, çünkü o müşterinin kabulü ve politikası bir aradadır. Bununla birlikte kimlik bilgileri, yamalar, izleme ve bir sahip gerektiren sistemleri de çoğaltır. Ve tek bir dayatılmış genel adres düzenini zorlamaz: uç nokta paylaşımı, çeviri ve protokol demultipleksleme, uygulamanın gerçekte neyi desteklediğine bağlıdır.
Güvenlik kazancını saymadan önce sistemleri ve insanları sayın. Ekibin yamalayabileceğinden dört fazla ağ geçidi olan bir tasarım pratikte daha yalıtılmış değildir.
Kiracı sayısı her ay değişiyorsa o modelin şablona değil, otomasyon öyküsüne ihtiyacı vardır.
Ana makine başına bağlantılar işi taşır
Her barındırılan makinede bir bağlantı operasyonel işi ortadan kaldırmaz, makinenin yaşam döngüsüne taşır. Kayıt, makine başına politika, anahtar rotasyonu ve değiştirme provizyonun parçası olur ve makinenin kendisiyle aynı pencerede başarısız olur. Farklı ağlardaki birkaç uzun ömürlü ana makine için bu genellikle doğrudur ve hangi imajın nerede çalıştığının izini çoktan kaybetmiş bir filo için nadiren.
Her seçenekte kimlik verilmesi, güncellemeler, erişimin kaldırılması, izleme ve kurtarma için bir rol adlandırın. Sonra bir müşterinin ayrıldığı gün ne olduğunu sorun.
Hizmetten çıkarma karşılaştırmaya aittir
Çoğu karşılaştırma hizmetten çıkarmayı atlar. Bir kiracıyı kaldırmak kimlik bilgilerini geçersiz kılmalı, politikasını düşürmeli, adreslerini ve yönlendirme durumunu serbest bırakmalı ve diğer herkesi dokunulmamış bırakmalıdır. NIST'in sıfır güven mimarisi rehberi burada doğru başvurudur, çünkü kimlik doğrulama ve yetkilendirmeyi bir ağ konumuna güvenmek yerine kaynağın üzerine koyar ve bu, müşterinin kendi segmentinin içinde de geçerlidir.
Protokol ölçütlerini tartmadan önce izin verilen ve reddedilen akışları, çakışan adreslerin ele alınmasını ve hizmetten çıkarma prosedürünü tartın. Sonra seçtiğiniz sınıra uygun bir taşıma ve kimlik doğrulama yöntemi seçin. Daha eski bir ürün adı ya da her işletmenin tek bir protokolde standartlaşması gerektiği iddiası bunların hiçbirini çözmez. İlk yazdığınız harita çözer.