Bạn vẫn cần VPN nếu dùng Identity-Aware Proxy?

Giả định là thế này: một khi proxy biết danh tính đứng trước các ứng dụng nội bộ, VPN chỉ còn là đồ trang trí và máy khách có thể rời đi. Điều đó đúng với một trường hợp hẹp, một ứng dụng HTTPS tương tác mà một người dùng trong trình duyệt, và nó âm thầm thất bại ở mọi nơi khác. Proxy cấp quyền cho một yêu cầu đối với một tài nguyên; VPN đưa máy khách vào một phạm vi mạng, và hai ranh giới đó hiếm khi trùng nhau. Trước khi cho tunnel nghỉ hưu, hãy so sánh các thao tác mà người của bạn thực sự làm, không phải nhãn sản phẩm trên sơ đồ.

Hai cổng cấp quyền cho những thứ khác nhau

Cổng ứng dụng quyết định liệu yêu cầu này, từ danh tính này, có thể tới tài nguyên được bảo vệ này hay không. Tổng quan Identity-Aware Proxy của Google mô tả đúng hình dạng đó: một lớp cấp quyền trung tâm trước các ứng dụng HTTPS, do một vai trò IAM điều khiển. Ranh giới là tài nguyên, và đơn vị truy cập là yêu cầu. VPN định tuyến làm một việc thô hơn và rộng hơn: đưa máy khách vào một phạm vi mạng xác định, sau đó ứng dụng vẫn quyết định máy khách đó được làm gì.

Không mô hình nào bao hàm mô hình kia. Đi qua cổng không nói gì về việc đọc một bản ghi cụ thể, và ở trong mạng không nói gì về quyền hành động.

Proxy không bao phủ gì, và VPN bao phủ gì

Phiên SSH, máy khách cơ sở dữ liệu, broker tin nhắn và tên máy chủ nội bộ mà không trình duyệt nào mở đến không trở nên với tới chỉ vì có một proxy web. Mỗi thứ nói giao thức riêng, và mỗi thứ cần hoặc con đường được xác thực của riêng nó, hoặc một mạng mang nó đi. Đó là khoảng trống mà người ta phát hiện vào ngày đầu tiên của một cuộc di trú, thường từ một kỹ sư trực với chiếc laptop không còn phân giải được tên máy chủ.

Khoảng trống ngược lại cũng thực như vậy. Một VPN đưa máy khách vào một subnet không xác thực người ở bên trong, và một thiết bị bị xâm nhập trên subnet đó thừa hưởng mọi thứ mà mạng cho phép. Nếu yêu cầu là cấp quyền cho từng yêu cầu với một danh tính có thể kiểm toán, chỉ định tuyến thì không tạo ra được điều đó. Hầu hết tổ chức cuối cùng chạy cả hai, và câu hỏi thú vị là tài nguyên nào mà mỗi bên được đứng trước.

Luồng làm việc của máy khách quyết định nhiều hơn sơ đồ kiến trúc

Đăng nhập bằng trình duyệt với chuyển hướng và đôi khi có thử thách MFA là trải nghiệm tốt cho người bấm dấu trang. Một tác vụ cron, một CLI hay một build agent không có trình duyệt và không thể trả lời một lời nhắc tương tác, nên nó cần một đường phi tương tác được ghi lại hoặc tunnel. Việc phát hiện yêu cầu đó thường xảy ra sau khi thiết kế được duyệt.

Đếm máy khách trước khi đếm ứng dụng. Một bảng điều khiển có thể phục vụ một trăm người; một cổng cơ sở dữ liệu có thể chặn cả đội.

Tình trạng thiết bị không phải thuộc tính của cổng nào

Cài một máy khách VPN không phải là kiểm tra tuân thủ, và một thiết kế dựa trên trình duyệt không tự động là không thể tuân theo chính sách thiết bị được quản lý. Cả hai đều có thể tích hợp tín hiệu tình trạng, và cả hai đều có thể được triển khai mà không cần chúng. Hãy hỏi có cơ chế thực thi nào, chính sách thuộc về ai và điều gì xảy ra với một thiết bị vi phạm, thay vì suy ra từ hình dạng sản phẩm.

Sự thận trọng tương tự áp dụng cho việc thu hồi quyền truy cập. Xóa tư cách thành viên nhóm trong proxy và thu hồi chứng chỉ cho tunnel là hai thao tác khác nhau với độ trễ khác nhau, và một trong hai thường bị quên khi nhân sự rời đi.

Tìm các đường thay thế trước khi cho thứ gì đó nghỉ hưu

Một nguồn không được bảo vệ sau proxy, một tên máy chủ thứ hai vượt qua nó, hoặc một tuyến riêng rộng còn sót lại từ thiết kế trước sẽ quyết định cổng nào thực sự có hiệu lực. Hãy thử một thao tác được phép và một thao tác bị từ chối qua máy khách thực, không phải qua bảng điều khiển, và thử chúng từ một thiết bị chưa từng được đăng ký. Chính trường hợp bị từ chối cho bạn biết cổng có làm gì hay không.

Sau đó hãy viết bàn giao: đăng ký, cập nhật, thu hồi quyền truy cập và đường phục hồi cho người bị khóa ngoài lúc 2 giờ sáng. Xóa một lời nhắc hay một ứng dụng máy khách chỉ chuyển trách nhiệm giữa các đội; nó không xóa trách nhiệm.

Nếu bạn quyết định tuần này, hãy bắt đầu bằng danh sách thao tác thay vì danh sách sản phẩm, đánh dấu những gì trình duyệt làm được, và để phần còn lại biện minh cho quyền truy cập mạng còn tồn tại.