Identity-Aware Proxy kullanıyorsanız hâlâ VPN'e ihtiyacınız var mı?

Varsayım şöyle: kimliği bilen bir proxy iç uygulamaların önüne geçtiği anda VPN yalnızca süs olur ve istemci gidebilir. Bu, dar bir durum için doğrudur: bir kişinin tarayıcıda kullandığı etkileşimli bir HTTPS uygulaması; başka her yerde sessizce başarısız olur. Proxy bir isteği bir kaynağa karşı yetkilendirir; VPN bir istemciyi bir ağ kapsamına alır ve bu iki sınır nadiren örtüşür. Bir tüneli devre dışı bırakmadan önce, şemadaki ürün etiketlerini değil, insanlarınızın gerçekte yaptığı işlemleri karşılaştırın.

İki kapı farklı şeyleri yetkilendirir

Uygulama kapısı, bu isteğin bu kimlikten bu korunan kaynağa ulaşıp ulaşamayacağına karar verir. Google'ın Identity-Aware Proxy genel bakışı tam olarak bu biçimi anlatır: HTTPS uygulamalarının önünde bir IAM rolüyle yönetilen merkezi bir yetkilendirme katmanı. Sınır kaynaktır ve erişim birimi istektir. Yönlendirilmiş VPN daha kaba ve daha geniş bir şey yapar: istemciyi tanımlı bir ağ kapsamına alır, ardından uygulama o istemcinin ne yapabileceğine hâlâ karar verir.

Hiçbir model diğerini gerektirmez. Kapıdan geçmek belirli bir kaydı okumak hakkında hiçbir şey söylemez; ağda bulunmak da eylem izni hakkında hiçbir şey söylemez.

Proxy'nin kapsamadığı, VPN'in kapsadığı şeyler

SSH oturumları, veritabanı istemcileri, mesaj aracıları ve hiçbir tarayıcının asla açmadığı iç ana bilgisayar adları, yalnızca bir web proxy var diye erişilebilir hâle gelmez. Her biri kendi protokolünü konuşur ve her biri ya kendi doğrulanmış yolunu ya da onu taşıyan bir ağı gerektirir. İnsanların bir geçişin ilk gününde keşfettiği boşluk budur; genellikle ana bilgisayar adını artık çözemeyen dizüstü bilgisayarlı nöbetçi mühendisten duyulur.

Ters boşluk da aynı derecede gerîktir. Bir istemciyi alt ağa alan bir VPN, içerideki kişiyi doğrulamaz ve o alt ağdaki ele geçirilmiş bir cihaz ağın izin verdiği her şeyi devralır. Gereksinim, denetlenebilir bir kimlikle her istek için yetkilendirmeyse, yalnızca yönlendirme bunu üretemez. Çoğu kuruluş sonunda ikisini de işletir ve ilginç soru, hangi kaynakların önünde hangisinin durabileceğidir.

İstemci iş akışı mimari şemadan daha fazlasını belirler

Yönlendirmeli ve ara sıra MFA meydan okumalı tarayıcı oturumu, yer imine tıklayan bir kişi için iyi bir deneyimdir. Bir cron işi, CLI veya derleme aracının tarayıcısı yoktur ve etkileşimli bir istemi yanıtlayamaz; bu yüzden belgelenmiş etkileşimsiz bir yola ya da tünele ihtiyaç duyar. Bu gereksinimin keşfi genellikle tasarım onaylandıktan sonra olur.

Uygulamaları saymadan önce istemcileri sayın. Bir gösterge panosu yüz kişiye hizmet edebilir; bir veritabanı bağlantı noktası tüm ekibi bloke edebilir.

Cihaz duruşu iki kapının da özelliği değildir

VPN istemcisi kurmak bir uyum denetimi değildir ve tarayıcı tabanlı bir tasarım, yönetilen cihaz ilkesine uyma konusunda otomatik olarak yetersiz değildir. İkisi de duruş sinyalleriyle bütünleşebilir ve ikisi de bunlar olmadan kullanıma alınabilir. Ürünün biçiminden çıkarım yapmak yerine hangi uygulamanın var olduğunu, ilkenin kime ait olduğunu ve ilkeyi ihlal eden cihaza ne olduğunu sorun.

Aynı dikkat, erişimi kaldırmak için de geçerlidir. Proxy'de bir grup üyeliğini silmek ile tünel için bir sertifikayı iptal etmek farklı gecikmeli farklı işlemlerdir ve biri genellikle ayrılırken unutulur.

Bir şeyi devre dışı bırakmadan önce alternatif yolları bulun

Proxy'nin arkasındaki korumasız bir kaynak, onu atlayan ikinci bir ana bilgisayar adı veya önceki bir tasarımdan kalan geniş bir özel yol, hangi kapının gerçekten yürürlükte olduğuna karar verir. İzin verilen ve reddedilen bir işlemi konsoldan değil, gerçek istemciden test edin ve hiç kaydedilmemiş bir cihazdan test edin. Kapının bir şey yapıp yapmadığını size söyleyen şey reddedilen durumdur.

Sonra devri yazın: kayıt, güncellemeler, erişimin kaldırılması ve gece 2'de dışarıda kilitli kalan biri için kurtarma yolu. Bir istemi veya istemci uygulamasını kaldırmak sorumluluğu ekipler arasında taşır; sorumluluğu silmez.

Bu hafta karar veriyorsanız ürün listesi yerine işlem listesiyle başlayın, hangilerini tarayıcının yapabildiğini işaretleyin ve geri kalanın hayatta kalan ağ erişimini gerekçelemesine izin verin.