概述
目前，虚拟专用网络（VPN）是很多公司远程访问的解决方案之一。但是，VPN用户一旦获得授权就可以广泛访问公司网络上的资源。这种广泛访问的方法使潜在的敏感资源和信息暴露给VPN用户和攻击者。因此，围绕软件定义的边界解决方案（SDP）成为安全远程访问的一个更具吸引力的替代方案。
1. SDP简介
虚拟专用网 (VPN) 面世二十多年，为我们提供了加密的安全通信信道与数据传输渠道。虽然 VPN 类型很多，比如常见的 SSL VPN 和 IPSec，但无论实现方式如何，其基本理念都是一样的：创建安全 IP 传输隧道，以加密访问的方式保障数据安全。
构建并部署 VPN 的基本前提就是存在企业边界，表面上受到 IDS/IPS 和防火墙等边界安全设备保护。远程用户或商业合作伙伴可通过 VPN 隧道穿透企业网络边界，访问企业内部资源，即使不在企业内部也能享有本地访问权限。
然而，现代 IT 企业的现实是边界已不复存在，员工、承包商和合作伙伴遍布全世界，在本地、远程和云端完成作业。这就是促使 SDP 诞生的环境及其将要解决的问题。
软件定义边界 (SDP) 的概念相对较新，出现于 2013 年，最初受云安全联盟 (CSA) 指导。SDP 模型没有默认信任假设，不会因为采用了传输层安全 (TLS) 就认为加密隧道是安全的，所以很多供应商在与 SDP 相关的产品上采用了 “零信任” 这一术语。
2. SDP设计目标
- 对设备进行身份认证和验证
- 对用户进行身份验证和授权
- 确保双向加密通信
- 动态提供连接
- 控制用户与服务之间连接，同时隐藏这些连接
3. SDP架构
SDP的安全模型融合了设备身份验证、基于身份的访问和动态配置连接三大组件，虽然SDP中的安全组件都很常见，但这三者的集成却是相当创新的。
3.1 SDP组件
SDP架构主要包括三大组件：
- SDP控制器（SDP Controler）
- SDP连接发起主机（IH，Initial host）
- SDP连接接受主机（AH，Accept host）
SDP主机可以发起连接也可以接受连接，IH和AH会直接连接到SDP控制器，通过控制器与安全控制信道的交互来管理。该结构使得控制层能够与数据层保持分离，以便实现完全可扩展的安全系统。
3.2 SDP工作流程
- 在 SDP 中添加并激活一个或多个【SDP 控制器】并连接到身份验证和授权服务，例如 AM、 PKI 服务、设备验证、地理位置、SAML、 OpenID、OAuth、LDAP、Kerberos、多因子身份验证、身份联盟和其他类似的服务。
- 在 SDP 中添加并激活一个或多个 AH。它们以安全的方式连接控制器并进行验证。 AH不响应来自任何其他主机的通信，也不会响应任何未许可的请求。
- 每个 IH 会在 SDP 中添加和激活，并与【SDP 控制器】连接并进行身份验证。
- IH 被验证之后，【SDP 控制器】确定 IH 被授 权可以连接的 AH 列表。
- 【SDP 控制器】指示 AH 接受来自 IH 的通信， 并启动加密通信所需的任何可选策略。
- 【SDP 控制器】为 IH 提供 AH 列表，以及加密通信所需的任何可选策略。
- IH 向每个授权的 AH 发起 SPA（SPA，单包授权，使未授权的用户和设备无法感知或访问）。然后 IH 和这 些 AH 创建双向加密连接(例如，双向验证 TLS 或 mTLS)。
- IH 通过 AH 并使用双向加密的数据信道与目标系统通信。
3.3 SPA单数据包授权技术
单数据包授权技术（SPA）是SDP框架中极为重要的一项技术。
SPA作用于SDP客户端与SDP网关之间，以实现强大的服务隐蔽性。有了SPA技术，才能够实现SDP中的资产隐藏功能。所谓的资产隐藏功能，就是未经过身份验证的SDP客户端无法“看见”敏感资产，既然看不见就更谈不上访问请求了。
SPA会根据内置算法生成一个单数据包，在经过加密分组等等一些手段发送到SDP网关之上，若是这个数据包通过了SDP网关的验证，这样才会同意与SDP客户端建立连接。除此之外SDP网关都直接将该数据包丢弃，让其他终端无法确认对方是否存在。
有了SPA，在SDP网络中，你无法“看到”除SDP控制器之外的任何其他资产（终端/端口等等）。
4. 商业解决方案
目前市场中有很多商业和开源解决方案提供SDP功能。
- Vidder和CryptZone有推向市场的SDP解决方案。
- 一些网络软件产品中也提供SDP中的关键元素，例如Cisco ACI（以及类似的开源项目），VMware NSX，Nuage VSP。
- 谷歌已经发布了BeyondCorp来分享这些概念。
- Cisco，HPE，Juniper提供的NAC解决方案也提供类似SDP的解决方案。
5. 参考
SDP（软件定义边界）让SDN更安全,你的对面可不能是一条狗！
最后
以上就是美丽小蚂蚁为你收集整理的理解SDP软件定义边界--概念、架构、流程1. SDP简介2. SDP设计目标3. SDP架构4. 商业解决方案5. 参考的全部内容，希望文章能够帮你解决理解SDP软件定义边界--概念、架构、流程1. SDP简介2. SDP设计目标3. SDP架构4. 商业解决方案5. 参考所遇到的程序开发问题。
如果觉得靠谱客网站的内容还不错，欢迎将靠谱客网站推荐给程序员好友。
发表评论 取消回复