Ko'p ijarachi VPN: umumiy shlyuz, har bir ijarachi yoki har bir xost uchun
Tunnel ijarachilarni izolyatsiya qilish emas. Umumiy shlyuzni, har bir ijarachi uchun shlyuzlarni va har bir xost uchun ulanishlarni identifikatsiya xaritalashi, marshrutlash va foydalanishdan chiqarish bo'yicha taqqoslang.
Mijozni kim qabul qilishini va bu mijozning boshqa ijarachi resurslariga yetib borishiga nima to'sqinlik qilishini hal qiling. Bu ikki qaror, va IPsec, WireGuard yoki mesh mahsulotini tanlash ikkalasiga ham javob bermaydi. Mukammal ko'tariladigan tunnel ham har bir ijarachiga qolganlarning barchasiga yetish imkonini qoldirishi mumkin, va ikkalasini bir narsa deb hisoblaydigan ko'rib chiqish noto'g'ri dizaynni tasdiqlaydi. Avval mijozdan resursga xaritani yozing: administratorlar, qo'llab-quvvatlash kirishi, umumiy xizmatlar va taqiqlangan bo'lib qolishi kerak bo'lgan yo'llar.
Mahsulotdan emas, xaritadan boshlang
O'sha xarita birinchi hujjat, va quyidagi har bir tanlov faqat uni amalga oshiruvchi chegara qayerda yashashini hal qiladi. Uni ko'rib chiqishga qulay saqlang: har bir mijoz uchun bir qator, har bir umumiy xizmat uchun bir qator va taqiqlangan yo'llar yozilgan.
Hech kim o'qiy olmaydigan xarita — hech kim amalga oshirmaydigan xarita.
Bitta qabul nuqtasi va uning xaritalash muammosi
Har bir joylashuv bitta operatsion savol bilan hal qilinadi, va jadval butun taqqoslashdir.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Umumiy shlyuz qabulni markazlashtiradi va xavfni bir joyda to'playdi: ijarachi identifikatori va uning siyosati o'rtasidagi bog'lanish. Guruhlar yoki tunnel manzillari to'g'ri resurs ruxsatlariga aylanishi kerak, va har bir mijoz uchun boshqa yorliq o'z-o'zidan hech narsani to'smaydi. Alohida marshrutlash kontekstlari platforma qo'llab-quvvatlasa va dizayn to'liq bo'lsa, ustma-ust tushadigan prefikslarni saqlashi mumkin. Oddiy umumiy marshrutlash jadvali ikkita bir xil manzil prefiksini faqat ularning orqasidagi odamlarning hisoblari boshqa bo'lgani uchun ajrata olmaydi.
Bu ko'pchilik dizaynlar uchun sinov. Ichkarida 10.0.0.0/8 bilan raqamlaydigan ikki ijarachiga nomlash an'anasi emas, alohida marshrutlash holati kerak.
Har bir ijarachi uchun shlyuz chegaralar va tizimlarni sotib oladi
Har bir mijoz uchun bitta shlyuz ba'zi ma'muriy chegaralarni tushuntirishni osonlashtiradi, chunki o'sha mijozning qabuli va siyosati birga turadi. U shuningdek hisob ma'lumotlari, yamoqlar, monitoring va egasi kerak bo'lgan tizimlarni ko'paytiradi. Va u yagona belgilangan ommaviy manzillar tartibini majburlamaydi: oxirgi nuqtalarni bo'lishish, tarjima va protokollarni demultiplekslash amalga oshirish haqiqatan nima qo'llab-quvvatlashiga bog'liq.
Xavfsizlik foydasini sanashdan oldin tizimlar va odamlarni sanang. Jamoa yamab ulguradiganidan to'rtta ortiq shlyuzli dizayn amalda ko'proq ajratilgan emas.
Agar ijarachilar soni har oy o'zgarsa, bu modelga andoza emas, avtomatlashtirish hikoyasi kerak.
Har bir xost uchun ulanishlar ishni ko'chiradi
Har bir joylashtirilgan mashinada ulanish operatsion ishni yo'q qilmaydi, uni mashinaning hayot tsikliga ko'chiradi. Ro'yxatga olish, mashina bo'yicha siyosat, kalit aylanishi va almashtirish ta'minotning bir qismiga aylanadi va ular mashinaning o'zi kabi o'sha oynada muvaffaqiyatsiz bo'ladi. Turli tarmoqlardagi bir necha uzoq umrli xostlar uchun bu ko'pincha to'g'ri, va qaysi obraz qayerda ishlashini allaqachon yo'qotgan flot uchun kamdan-kam.
Har bir variantda identifikatsiya berish, yangilanishlar, kirishni olib tashlash, monitoring va tiklash uchun rol nomlang. Keyin bitta mijoz ketadigan kuni nima bo'lishini so'rang.
Olib tashlash taqqoslashga kiradi
Ko'pchilik taqqoslashlar olib tashlashni o'tkazib yuboradi. Ijarachini olib tashlash uning hisob ma'lumotlarini bekor qilishi, siyosatini tushirishi, manzillari va marshrutlash holatini bo'shatishi va qolganlarning barchasini daxlsiz qoldirishi kerak. NIST ning nol ishonch arxitekturasi bo'yicha qo'llanmasi bu yerda to'g'ri havola, chunki u autentifikatsiya va avtorizatsiyani tarmoq pozitsiyasiga ishonish o'rniga resursga qo'yadi, va bu mijozning o'z segmenti ichida ham amal qiladi.
Protokol etalonlarini tortishdan oldin ruxsat etilgan va taqiqlangan oqimlarni, ustma-ust manzillarni boshqarishni va olib tashlash tartibini torting. Keyin tanlagan chegarangizga mos transport va autentifikatsiya usulini tanlang. Eski mahsulot nomi yoki har bir biznes bitta protokolda standartlashishi kerak degan da'vo bularning hech birini hal qilmaydi. Birinchi yozilgan xarita hal qiladi.