SXAccess vs. klassisches VPN
Ein klassisches VPN bündelt den Datenverkehr an einem Gateway und gewährt Zugriff auf ein Subnetz. SXAccess verbindet Maschinen direkt und gewährt Zugriff auf benannte Ressourcen.
Ein klassisches VPN setzt einen Konzentrator in die Mitte. Jeder Client wählt sich über denselben öffentlichen Endpunkt ein, der Datenverkehr wird dort entschlüsselt, und der Client landet in einem Netzsegment. Der Zugriff hängt dann davon ab, wo Sie gelandet sind, und wird über Firewall-Regeln durchgesetzt, die jemand von Hand geschrieben hat.
Dieses Modell hat drei Nachteile, die mit der Größe der Umgebung zunehmen. Der Konzentrator ist ein Engpass und ein Single Point of Failure, und sein öffentlicher Endpunkt ist dauerhaft exponiert. Zudem passen die Firewall-Regeln mit der Zeit immer weniger dazu, wer tatsächlich wo arbeitet.
Gegenüberstellung
| Klassisches VPN | SXAccess | |
|---|---|---|
| Datenpfad | Client → Konzentrator → Ziel. Immer mit Umweg über die Mitte. | Client → Ziel, direkt, wann immer ein direkter Pfad besteht; sonst über ein verschlüsseltes Relay. |
| Öffentliche Angriffsfläche | Der Port des Konzentrators muss zum Internet hin offen sein. | Nichts braucht einen eingehenden Port. Agenten verbinden sich nur nach außen. |
| Zugriffseinheit | Ein Subnetz oder ein IP-Bereich. | Eine benannte Ressource oder Gerätegruppe. |
| Wer entscheidet | Firewall-Regeln, getrennt von der Personenliste gepflegt. | Zugriffsregeln für die Gruppen, denen ein Mitglied angehört. |
| Neuen Standort anbinden | Neuer Tunnel, neues Routing, neue Regeln. | Den CLI-Agenten auf einer Maschine vor Ort installieren, die damit zum Routing-Gerät wird. Die Ziele, die sie erreichen soll, als Ressourcen bereitstellen und in einer Zugriffsregel freigeben. |
| Ausfallverhalten | Fällt der Konzentrator aus, sind alle offline. | Bereits aufgebaute direkte Tunnel laufen weiter, solange der Management-Dienst nicht erreichbar ist. Tunnel über das Relay brauchen das Relay, neue Tunnel brauchen Discovery. |
| Verschlüsselung | Endet am Gateway. | Ende-zu-Ende zwischen den beiden Geräten, auf denen SXAccess läuft; keine Zwischenstation besitzt Schlüssel. Datenverkehr zu einer Ressource verlässt den Tunnel am Routing-Gerät und legt das letzte Stück im dortigen Netz unverschlüsselt zurück, sofern die Anwendung ihn nicht selbst verschlüsselt. |
Was „Zero Trust“ in der Praxis ändert
Der praktische Unterschied liegt nicht im Schlagwort, sondern in der Größe des Schadensradius. In einem VPN kann ein kompromittiertes Notebook das gesamte Segment scannen, in dem es gelandet ist. Bei SXAccess erhält der Agent dieses Notebooks nur eine Netzwerkbeschreibung mit den Geräten, die seine Zugriffsregeln erlauben. Alles andere ist nicht bloß blockiert, sondern unsichtbar.
Daraus ergeben sich zwei weitere Eigenschaften:
- Zugriff folgt der Identität, nicht dem Standort. Werden einem externen Dienstleister seine Gruppen entzogen, verliert er den Zugriff, sobald die neuen Netzwerkbeschreibungen verteilt sind, ganz gleich, wo er sich befindet.
- Geräteanforderungen können den Zugriff an Bedingungen knüpfen. Eine Zugriffsregel kann eine Mindestversion des Betriebssystems, einen laufenden Prozess oder ein erlaubtes Land verlangen, bevor das Quellgerät diese Regel nutzen kann. Siehe Geräteanforderungen.