Hamkorlarni birlashtirmasdan hamkor VPN kirishini markazlashtiring

Taklif o‘rinli: o‘nlab noutbuklarga tarqalgan beshta hamkor tunneli, beshta klient versiyalari to‘plami, beshta yordam skripti va ular qanday mos kelishini biladigan bitta injener. Ularni boshqariladigan kirish darajasiga ko‘chirish endpoint tarqoqligini tuzatadi. Shu bilan birga arxitekturangizda yangi obyekt paydo bo‘ladi — endi o‘z avtorizatsiya modeliga muhtoj bo‘lgan umumiy kirish xizmati; va hamma kam baholaydigan muvaffaqiyatsizlik — barcha tunnellar yoqilgan markaziy qurilmaning jimgina, qo‘shni bo‘lishga hech qachon rozi bo‘lmagan tashkilotlar orasidagi tranzit tarmog‘iga aylanishi. Bu xavf dizayn tanlovi, apparat o‘zi qiladigan ish emas. Quyidagi ish qasddan bo‘lmagan yon ta’sirni qabul qilmasdan qulaylikni saqlash usulidir.

Har bir hamkor allaqachon imzolagan shartnomadan boshlang

Har qanday konfiguratsiyadan oldin hamkor umumiy shlyuz yoki sayt ulanishiga umuman ruxsat berishini tasdiqlang. Shaxsiy masofaviy kirish hisobi, qurilma holati talabi yoki interaktiv MFA oqimi odamsiz umumiy tunnelga o‘tkazilmasligi mumkin; va bitta nusxalangan klient identifikatsiyasi orqasida xodimlarni to‘plash — hamkor o‘z jurnallarini audit qilmaguncha yashaydigan shunday qisqa yo‘l. Har bir ruxsat etilgan ulanish uchun manzil diapazonlari, xususiy DNS domenlari, ruxsat etilgan ichki manbalar, autentifikatsiya egasi va tunnel ishlamay qolganda nima bo‘lishi kerakligini yozib qo‘ying. Hamkordan umumiy ulanishni yozma ravishda tasdiqlashni so‘rang, ular qabul qiladigan manba diapazonlari bilan birga. Og‘zaki rozilik odatda ularning xavfsizlik jamoasi almashadigan haftada ma’nosini o‘zgartiradi.

O‘sha yozuv — bu natija. Agar uni bitta hamkor uchun yozolmasangiz, o‘sha hamkor markazlashtirishga tayyor emas.

Faqat manzil bo‘yicha emas, kontekst bo‘yicha marshrutlang

Har bir tashkilot bir xil RFC 1918 maydonidan tanlaydi, shuning uchun ikki hamkor oxir-oqibat bir xil xususiy diapazondan foydalanadi. Oddiy marshrutlash jadvali faqat manzil bo‘yicha to‘g‘ri hamkorni tanlay olmaydi, shuning uchun bir-biriga tushadigan diapazonlar alohida marshrutlash kontekstlarini yoki boshqa kelishilgan dizaynni talab qiladi. RFC 4364 dagi yo‘naltirish domeni modeli bu ajratish nima uchun muhimligini tushuntiradi va joriy etish o‘z shlyuz platformasidan xuddi shu xususiyatni talab qilish uchun MPLS ishga tushirishi shart emas.

Platformaga to‘g‘ridan-to‘g‘ri savol bering: ikki hamkor bir xil manzil prefiksini bo‘lishib, baribir sessiya qaysi xodim kontekstidan kelganiga qarab ajratilishi mumkinmi? Javob yo‘q bo‘lsa, bu cheklov dizaynni har qanday sotuvchi funksiyalar ro‘yxatidan ko‘ra ko‘proq shakllantiradi.

Javob ha bo‘lgan joyda marshrutlash konteksti siz hujjatlashtiradigan va sinovdan o‘tkazadigan narsaga aylanadi, chunki u traceroute da ko‘rinmaydi.

Xodim nima yozishini va hamkor nima jurnalga yozishini hal qiling

Hamkor ishining bir qismi ilova proksisiga yoki o‘sha hamkor kontekstida ochiladigan masofaviy ish maydoniga mos keladi. Boshqa ishlar tasdiqlangan xodimlar segmentidan marshrutlangan tarmoq kirishini talab qiladi va ikkalasi uzoq tomonda turli manba manzillari va turli audit izlarini hosil qiladi. Umumiy tarjima qilingan manba manzili ruxsat ro‘yxatini qanoatlantirib, qaysi qurilma nima qilganini yashirishi mumkin, shuning uchun xodim va sessiya o‘rtasidagi ishonchli yozuvni saqlang va shlyuz manzilini identifikatsiya deb hisoblash o‘rniga ilova autentifikatsiyasini saqlab qo‘ying — bu hamkor kim qilganini so‘raguncha qulay.

So‘ngra xodim tomondan bitta haqiqiy vazifani bosib o‘ting: ular nimani bosadi, nimani kiritish so‘raladi va hamkor jurnal yozuvini so‘rasa nima ko‘radi. Agar bu yurish takrorlanmasa, dizayn tugallanmagan.

Hamkor-hamkor tranzitini aniq taqiqlang

Umumiy apparat hech qachon umumiy ishonchni anglatmasligi kerak. Taqiqni yetishmayotgan konfiguratsiya tasodifi emas, balki nomlangan egasi bor qasddan qoida sifatida qo‘shing va uni aks holda muvaffaqiyatli bo‘ladigan so‘rov bilan ikki tomondan sinab ko‘ring. Sinov muhim, chunki faqat mavjud bo‘lmagan ruxsatni, aloqasiz shikoyatni tuzatish uchun marshrut qo‘shadigan keyingi injener tiklab qo‘yishi mumkin.

Taqiqni ruxsatlar yonida hamkor yozuviga yozing, shunda niyat xodimlar almashinuvidan o‘tsin.

Uni kattaroq noutbuk emas, umumiy xizmat sifatida yuriting

Tunnellarni yangilash, hisob ma’lumotlarini aylantirish, sig‘im va shlyuzni almashtirish endi barchasi umumiy xizmat o‘zgarishlariga aylanadi, ya’ni ularga alohida noutbuklar hech qachon talab qilmagan jadval va aloqa yo‘li kerak. Hamkor sertifikatining shanba kuni tugashi endi bitta foydalanuvchining uzilishi emas; bu o‘sha hamkorning barcha sessiyalarining bir vaqtda uzilishi.

Darajani faqat rad etilgan hamkorlararo so‘rov aynan rejalashtirilganidek muvaffaqiyatsiz bo‘lganda va ruxsat etilgan xodim so‘rovi to‘g‘ri manba bilan to‘g‘ri manzilga yetganda qabul qiling. Noutbuk mojarosini yo‘qotib, har bir hamkor chegarasini buzilmasdan saqlash — butun maqsad shu; har bir stoldan har bir masofaviy prefiksga yetish mumkin bo‘lgan dizayn muammoni shunchaki boshqa joyga ko‘chirgan.

Hamkor, kontekst, ruxsat etilgan diapazonlar va egadan iborat kichik jadval saqlang. Voqea paytida birinchi so‘raladigan narsa shu bo‘ladi.