’n Maatskappy-webprogram agter die VPN plaas: ’n oorskakelingsgids

Beeld jou die verandering vanuit die gebruiker se kant. Iemand klik op 'n boekmerk, verwag die bekende aanmeldbladsy, en kry eerder 'n verbindingsfout omdat die gasheernaam nou net binne die tonnel antwoord. Daardie enkele oomblik bevat alles wat die migrasieplan reg moet kry: die naam, die pad, die sertifikaat, die rekening en die bewerking daaragter. Werk die stappe hieronder in daardie volgorde deur, en die oorskakeling hou op om 'n sprong te wees.

Stap 1: skryf neer wat gebruikers vandag doen

Begin met die gasheernaam in die adresbalk, die poort, die bewerkings wat mense uitvoer en die rekeninge wat hulle gebruik. As jy nie die drie belangrikste bewerkings kan noem nie, is jy nie gereed om die openbare ingang te sluit nie, want jy sal nie 'n stukkende een tydens aanvaarding herken nie.

Bepaal dan wie die private gehoor is. Werknemers op die korporatiewe VPN is 'n begin, nie 'n antwoord nie. Kontrakteurs, ondersteuningspersoneel en die finansiespan het dalk almal die toepassing nodig en sit dalk nie almal agter dieselfde poort nie.

Stap 2: skei die tonnel van die aanmelding

Wanneer die gebruiker die toepassing deur die VPN bereik, maak die blaaier steeds 'n TLS-verbinding na die toepassing se eie eindpunt oop. Die sertifikaat moet by daardie naam pas, en die toepassing verifieer steeds die rekening. Niks aan die tonnel vervang enigeen van die twee nie.

Dit is waar migrasies stil-stil verkeerd loop. Iemand besluit die private adres het nie meer 'n geldige sertifikaat nodig nie, gebruikers leer om deur 'n waarskuwing te klik, en die organisasie het 'n openbare blootstelling verruil vir 'n opleidingsprogram in die ignoreer van sekuriteitsaanwysings. As die toepassing werklik 'n interne sertifikaat nodig het, reik een uit by die interne owerheid en versprei die vertroue behoorlik. Dit is 'n beheerde verandering; 'n waarskuwingsbladsy is nie.

Hou magtiging waar dit reeds woon. NIST se samevatting van die zero-trust-argitektuur maak die punt reguit: netwerklokasie is nie 'n rede om 'n sensitiewe bewerking toe te staan nie. Om binne die tonnel te wees behoort nie 'n lees-alleen-rekening in 'n administrateur te verander nie.

Stap 3: vind die oproepers wat nie werknemers is nie

Maak die toepassing se konfigurasie oop en lys alles wat met dit praat: die identiteitsverskaffer se terugroep-URL, 'n betalingsverskaffer se webhook, 'n geskeduleerde invoer, 'n moniteringspeiling, 'n vennoot se API-kliënt. Elkeen is 'n afhanklikheid met 'n eienaar, en elkeen sal op 'n ander oomblik breek.

Bepaal 'n ondersteunde pad vir elkeen wat moet bly. 'n Webhook-verskaffer kan nie by jou werknemer-VPN aansluit nie, so maak óf 'n eng-omlynde integrasie-eindpunt met sy eie verifikasie bloot, óf verander die integrasiemodel. Om die hele toepassing openbaar te laat omdat een terugroep bestaan, is 'n keuse, en gewoonlik die verkeerde een.

Skryf elke uitsondering neer met bestemming, toegelate bewerking, verifikasie en eienaar. 'n Generiese VPN-rekening wat aan 'n integrasie gegee word, is hoe 'n uitsondering permanent word. Hersien die lys by die volgende toegangshersiening, want integrasies leef langer as die projekte wat hulle bygevoeg het. 'n Uitsondering sonder 'n vervaldatum is 'n permanente ontwerpbesluit wat niemand geneem het nie.

Stap 4: onttrek die openbare roete, nie net die DNS-rekord nie

Stap deur die publikasieketting: DNS, lasbalanseerder-luisteraars, omgekeerde-proxy-reëls, gasheerfirewall, en enige alternatiewe naam wat nog na die ou adres wys. Kontroleer beide adresfamilies. Om die hoof-A-rekord te verander bewys byna niks as 'n ouer CNAME of 'n IPv6-luisteraar die toep nog steeds bedien nie.

Bevestig parallel dat die private naam binne die tonnel oplos en dat die sertifikaat die naam dek wat gebruikers sal tik. 'n Gebruiker wat 'n numeriese adres moet plak, het 'n simptoom gevind, nie 'n workaround nie.

Beperk die VPN-gehoor tot die toepassing se pad. Breë toegang tot die kantoornetwerk verruil een blootstellingsbesluit vir 'n groter een, en administratiewe koppelvlakke het hul eie toegelate bronne nodig eerder as om die gebruikerreël te erf.

Stap 5: stap self deur die aanvaarding

Verbind as 'n goedgekeurde gebruiker, maak die boekmerk oop, kontroleer die sertifikaat, meld aan en voer een werklike bewerking uit. Probeer dan 'n rekening wat daardie bewerking nie behoort te hê nie en bevestig dat dit geweier word. Probeer dan vanaf 'n toestel buite die VPN en bevestig dat die toepassing onbereikbaar is.

Herhaal vir elke behoue integrasie, en lees die verskaffer se afleweringslog eerder as om aan te neem dat 'n 200 van jou eie toetsinstrument dieselfde ding is. 'n Suksesvolle VPN-aanmelding is geen bewys vir enige van hierdie resultate nie.

Stap 6: oefen die slegte dag

Bepaal wat tydens 'n tonnelonderbreking gebeur: werk stop, of 'n ander goedgekeurde toegangsmetode neem oor. Wat jy ook al kies, skryf dit neer en toets dit een keer, want nood-openbaarmaking as 'n ongedokumenteerde herstelmeganisme sal uiteindelik deur iemand onder druk uitgevoer word.

Hou hersteltoegang vir die administrateurs wat die poort en die toepassing onderhou, met 'n eienaar en 'n verwyderingsdatum. Teken die verandering en sy terugkeervoorwaardes op dieselfde plek aan, sodat 'n mislukte migrasie nie die mense uitsluit wat dit sou regmaak nie.

Ná die oorskakeling is pleisterwerk, rekeninglewensiklus, toepassingmagtiging en ouditering steeds joune. Die tonnel het die ingang vernou; dit het nie enige van daardie take oorgeneem nie.