Acceso de red Zero Trust - Acceso seguro sin VPN con AWS Verified Access
Explicamos el acceso Zero Trust sin VPN usando AWS Verified Access. Integración con proveedores de identidad, confianza de dispositivos, control de acceso basado en políticas y comparación con VPN tradicional.
Problemas de VPN y necesidad de Zero Trust
El acceso remoto tradicional a aplicaciones corporativas se realizaba principalmente mediante VPN. Sin embargo, VPN tiene muchos problemas. Al conectarse a la VPN se puede acceder a toda la red, violando el principio de mínimo privilegio. El ancho de banda del concentrador VPN se convierte en cuello de botella, degradando el rendimiento con el aumento de trabajadores remotos. La instalación y configuración del cliente VPN supone una carga para los usuarios. Si las credenciales VPN se filtran, toda la red queda en riesgo. El modelo Zero Trust se basa en el principio de verificar todo acceso independientemente de si es interno o externo a la red, resolviendo estos problemas. AWS Verified Access es un servicio de acceso de red Zero Trust lanzado en 2023 que verifica la identidad del usuario y la confiabilidad del dispositivo antes de permitir el acceso por aplicación.
Arquitectura y definición de políticas
Verified Access se compone de tres elementos: Trust Provider (proveedor de confianza), Access Group (grupo de acceso) y Endpoint (punto final). Los grupos de acceso son grupos de endpoints que comparten políticas. Los endpoints son las aplicaciones protegidas (ALB o interfaz de red). Las políticas de acceso se definen con el lenguaje de políticas Cedar. Cedar es un lenguaje de políticas open source desarrollado por AWS que permite escribir reglas de acceso de forma declarativa. ``` // Permitir acceso si pertenece al grupo de ingeniería y el dispositivo está en estado conforme permit(principal, action, resource) when { context.identity.groups.contains("engineering") && context.device.status == "compliant" }; ``` Es posible un control granular combinando atributos de usuario (grupos, dominio de correo), atributos de dispositivo (versión de SO, estado de cifrado, estado de parches) y atributos de solicitud (dirección IP, franja horaria).
Implementación e integración con aplicaciones existentes
La implementación de Verified Access se puede realizar sin modificar las aplicaciones existentes. Se coloca un endpoint de Verified Access delante del ALB, y los usuarios acceden a la URL del endpoint de Verified Access desde el navegador. Verified Access verifica la identidad y el dispositivo, y solo reenvía la solicitud al ALB si cumple con la política. Los usuarios no necesitan instalar un cliente VPN y pueden acceder directamente a la aplicación desde el navegador. Verified Access agrega información del usuario (dirección de correo, grupos, etc.) en los encabezados de la solicitud al reenviar al ALB, por lo que la aplicación también puede aprovechar la información del usuario. La integración con CloudWatch Logs permite registrar logs de acceso para auditar quién accedió a qué aplicación y cuándo. Para profundizar en conocimientos prácticos de Zero Trust, puede consultar libros especializados (Amazon).
Comparación con VPN y precios
Las principales diferencias entre Verified Access y VPN son la granularidad del acceso y la experiencia del usuario. VPN proporciona acceso a nivel de red, permitiendo acceder a todos los recursos de la red una vez conectado. Verified Access proporciona acceso a nivel de aplicación, permitiendo acceder solo a las aplicaciones autorizadas por la política. VPN requiere instalación de software cliente, mientras que Verified Access funciona solo con el navegador. VPN tiene el ancho de banda como cuello de botella, mientras que Verified Access aprovecha la red global de AWS para proporcionar alto rendimiento. Sin embargo, hay casos donde VPN sigue siendo necesario: acceso directo a servidores mediante SSH o RDP, comunicación con protocolos no HTTP, y cuando se requiere acceso a nivel de red, Client VPN sigue siendo adecuado. El precio es de 0,27 USD/hora por endpoint (aproximadamente 197 USD/mes) y 0,02 USD/GB de procesamiento de datos.
Resumen - Directrices de uso de Verified Access
AWS Verified Access es un servicio que controla el acceso a aplicaciones corporativas con modelo Zero Trust sin usar VPN. Sus principales fortalezas son la integración con proveedores de identidad y soluciones de gestión de dispositivos, el control de acceso granular con políticas Cedar, y la implementación sin cambios en aplicaciones existentes. Vale la pena considerarlo como alternativa a VPN para casos de uso donde trabajadores remotos acceden a aplicaciones corporativas basadas en web.