Uygulama mTLS ve SSO kullanıyorsa site VPN'ine hâlâ ihtiyacınız var mı?
Uygulama girişinizin hiçbir zaman kapsamadığı kanalları dolaşın, ardından özel ağ erişiminin gereksiz mi yoksa hâlâ ana bilgisayara giden tek yol mu olduğuna karar verin.
mTLS ile oturum açıyorsunuz, kontrol paneli yükleniyor ve site VPN'inin artık gereksiz olduğu iddiası, gece saat ikide bir veritabanını geri yüklemeniz gerekene kadar makul görünüyor. Uygulamanın TLS sınırı yalnızca tek bir kanalı tanımlar. Ana bilgisayar, veritabanı, yedekleme hedefi ve bulut hesabı her biri kendi giriş yolunu, kendi kimliğini ve kendi onaylayıcısını taşır ve bunların hiçbiri başarılı bir oturum açmayla denenmez.
Oturum açma ekranından dışarı doğru yürüyün
Sıradan bir kullanıcı gibi oturum açın ve isteğin dokunduğu her adımı yazın: tarayıcı, uç, uygulama dinleyicisi, oturum deposu, arka uç API'si. Her adımın bir sahibi ve bir kimlik doğrulama kararı vardır. Şimdi bu yürüyüşü ana bilgisayara yama uygulayan kişi ve gece yedeğini yazan iş için tekrarlayın. Bu yollar genellikle daha ilk adımda ayrışır.
Bu ayrışma yanıtlanmaya değer sorudur. Site VPN'i yalnızca o ikinci yürüyüşteki her kanalın kendi başına duran bir giriş ve yetkilendirme politikası olduğunda gereksizdir.
Uygulama girişinin hiçbir zaman kapsamadığı beş kanal
Aşağıdaki tablo bir envanter şablonudur, dağıtım kontrol listesi değildir. İkinci sütunu kendi ortamınızın bugün gerçekten uyguladığı şeyle doldurun.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Tek bir kimlik sağlayıcısını paylaşmak bu yetkilendirmeleri birleştirmez. API isteği göndermesine izin verilen bir kullanıcı, bu nedenle bir VM diskini değiştirmeye veya uygulamanın kimlik bilgileriyle bir veritabanını geri yüklemeye yetkili değildir. NIST, sıfır güven mimarisinin özetinde tam da bu nedenle kaynak kimlik doğrulamasını ve yetkilendirmesini ağ konumundan ayrı tutar.
Bir talebi okuyabilen destek mühendisi, bu nedenle arkasındaki ana bilgisayarda konsol açmaya yetkili değildir.
Bir yol ancak alternatif kapalı kaldığında gerçektir
Erişilebilirliği özel yönetim dinleyicileriyle sınırlamak, kısıtlama yalnızca çizilmekle kalmayıp uygulandığı sürece site VPN'inin meşru bir yerine geçmesidir. Olağan başarısızlık, kimsenin hatırlamadığı alternatif bir dinleyicidir: hâlâ tüm arayüzlere bağlı bir hizmet, bir yüklenici için açılmış güvenlik grubu kuralı, internetten erişilebilen bir yönetim bağlantı noktası.
Diyagramları değil dinleyicileri denetleyin. Ana bilgisayarda ss -ltnp ile gerçekte neyin bağlı olduğunu listeleyin ve yönetim bağlantı noktalarının özel bir adreste olduğunu doğrulayın. Bulut konsolunda iş yükü alt ağının gelen kurallarını okuyun ve yönetimle ilgili her şeyde 0.0.0.0/0 arayın. Sonra bağlantıyı özel yolun dışından deneyin, çünkü soruyu yanıtlayan test tam olarak budur.
SSH üzerinde dünyaya açık tek bir kural, tünel tasarımının öne sürdüğü her argümanı geçersiz kılar.
Tasarımları karşılaştırmadan önce haritayı yazın
Envanterin her satırı için kimlerin kimlikleri onayladığını, kimlerin erişim kurallarını güncellediğini, biri ayrıldığında kimlerin kimlik bilgilerini sildiğini ve yolun kendisi bozulduğunda kimlerin kurtarma ile ilgilendiğini kaydedin. Satır başına dört isim, yanıtı ortak bir hesap ve üç yıllık bir viki sayfası olan satırları ortaya çıkarmaya yeter.
Ardından kanal başına bir izin ve bir ret doğrulayın. İzin, amaçlanan kimliğin kaynağa amaçlanan yoldan ulaşabildiğini kanıtlar. Ret, benzer bir kimliğin ulaşamadığını kanıtlar ve insanların atladığı test tam olarak budur, bu yüzden alternatif dinleyiciler denetimlerden sağ çıkar. Önerilen tasarımı bu sonuçlarla karşılaştırın, uygulamanın TLS yapılandırmasıyla değil, çünkü o bunların hiçbirini hiç denemedi.
Site VPN'inin hâlâ yerini hak ettiği yer
Bir kaynağın istek başına kendi kimlik doğrulaması yoksa tünel veya dar bir ağ geçidi doğru yanıttır: veritabanı bakım bağlantı noktaları, yedekleme hedefleri, hipervizör konsolları, bant dışı yönetim. Bu dinleyiciler ağa güvenir, bu yüzden arayanı kimlik doğrulayan şey ağ olmalıdır.
Tek yanıt bu değildir. Yetkilendirmeyi kaynak başına sonlandıran bir ağ geçidi, tüm alt ağa yayılan bir tünelden daha dar olabilir ve paylaşılan bir sıçrama ana bilgisayarından daha iyi bir denetim izi bırakır.
İş sırası: envanteri tamamlayın, alternatifleri kapatın, satır başına bir ret doğrulayın ve ancak ondan sonra tüneli kaldırın. Bir satır ret üretemiyorsa, üretebilene kadar özel yolu koruyun.