Şirkət veb tətbiqini VPN-in arxasına köçürmək: keçid üzrə bələdçi

Dəyişikliyi istifadəçi tərəfindən təsəvvür edin. Kimsə əlfəcinə klikləyir, adi giriş səhifəsini gözləyir və əvəzində bağlantı xətası alır, çünki host adı artıq yalnız tunelin içində cavab verir. Həmin tək an miqrasiya planının düzgün etməli olduğu hər şeyi özündə saxlayır: ad, yol, sertifikat, hesab və onun arxasındakı əməliyyat. Aşağıdakı addımları bu ardıcıllıqla işləyin və keçid artıq sıçrayış olmaqdan çıxır.

Addım 1: istifadəçilərin bu gün nə etdiyini yazın

Ünvan sətrindəki host adından, portdan, insanların yerinə yetirdiyi əməliyyatlardan və istifadə etdikləri hesablardan başlayın. Ən vacib üç əməliyyatı adlandıra bilmirsinizsə, ictimai girişi bağlamağa hazır deyilsiniz, çünki qəbul zamanı xarab olanı tanımayacaqsınız.

Sonra xüsusi auditoriyanın kim olduğunu müəyyənləşdirin. Korporativ VPN-dəki işçilər başlanğıcdır, cavab deyil. Podratçılar, dəstək heyəti və maliyyə komandası tətbiqə ehtiyac duya bilər və hamısı eyni şlüz arxasında oturmaya bilər.

Addım 2: tuneli girişdən ayırın

İstifadəçi VPN vasitəsilə tətbiqə çatanda brauzer yenə də tətbiqin öz son nöqtəsinə TLS bağlantısı açır. Sertifikat həmin ada uyğun olmalıdır və tətbiq yenə də hesabı doğrulaşdırır. Tunel bunlardan heç birini əvəz etmir.

Miqrasiyalar səssizcə məhz burada səhv gedir. Kimsə qərara gəlir ki, xüsusi ünvana artıq etibarlı sertifikat lazım deyil, istifadəçilər xəbərdarlığı keçməyi öyrənir və təşkilat ictimai məruz qalmanı təhlükəsizlik xəbərdarlıqlarına məhəl qoymamaq üzrə təlim proqramı ilə dəyişmiş olur. Əgər tətbiq həqiqətən daxili sertifikata ehtiyac duyursa, onu daxili orqandan alın və etimadı düzgün paylayın. Bu, nəzarət olunan dəyişiklikdir; xəbərdarlıq səhifəsi deyil.

Avtorizasiyanı artıq yaşadığı yerdə saxlayın. NIST-in sıfır etimad arxitekturası xülasəsi məqamı birbaşa göstərir: şəbəkə yeri həssas əməliyyat vermək üçün səbəb deyil. Tunelin içində olmaq yalnız oxuma hesabını administratora çevirməməlidir.

Addım 3: işçi olmayan çağıranları tapın

Tətbiqin konfiqurasiyasını açın və onunla danışan hər şeyi siyahıya alın: kimlik provayderinin geri çağırış URL-i, ödəniş provayderinin vebhuku, planlaşdırılmış idxal, monitorinq yoxlaması, tərəfdaşın API müştərisi. Hər biri sahibi olan bir asılılıqdır və hər biri fərqli məqamda sınacaq.

Qalmalı olan hər biri üçün dəstəklənən yol müəyyənləşdirin. Vebhuk provayderi işçi VPN-inizə qoşula bilməz, ona görə ya öz doğrulanması olan dar əhatəli inteqrasiya son nöqtəsini açın, ya da inteqrasiya modelini dəyişin. Bir geri çağırış var deyə bütün tətbiqi ictimai saxlamaq bir seçimdir və adətən yanlış seçimdir.

Hər istisnanı təyinat, icazə verilən əməliyyat, doğrulama və sahiblə yazın. İnteqrasiyaya verilən ümumi VPN hesabı istisnanın daimi olmasının yoludur. Siyahıya növbəti giriş nəzərdən keçirməsində baxın, çünki inteqrasiyalar onları əlavə edən layihələrdən uzun yaşayır. Son tarixi olmayan istisna heç kimin vermədiyi daimi dizayn qərarıdır.

Addım 4: yalnız DNS yazısını deyil, ictimai marşrutu çıxarın

Nəşr zəncirini gəzin: DNS, yük balanslaşdırıcısı dinləyiciləri, tərs proxy qaydaları, host firewall və köhnə ünvana hələ də işarə edən hər hansı alternativ ad. Hər iki ünvan ailəsini yoxlayın. Əsas A yazısını dəyişmək, köhnə CNAME və ya IPv6 dinləyicisi tətbiqə hələ də xidmət edirsə, demək olar ki, heç nə sübut etmir.

Eyni vaxtda təsdiqləyin ki, xüsusi ad tunelin içində həll olunur və sertifikat istifadəçilərin yazacağı adı əhatə edir. Rəqəmsal ünvanı yapışdırmalı olan istifadəçi simptom tapıb, iş dövrəsi deyil.

VPN auditoriyasını tətbiqin yoluna qədər məhdudlaşdırın. Ofis şəbəkəsinə geniş çıxış bir məruz qalma qərarını daha böyüyü ilə dəyişir və inzibatçı interfeysləri istifadəçi qaydasını miras almaq əvəzinə öz icazəli mənbələrinə ehtiyac duyur.

Addım 5: qəbulu özünüz gəzin

Təsdiqlənmiş istifadəçi kimi qoşulun, əlfəcini açın, sertifikatı yoxlayın, daxil olun və bir real əməliyyat yerinə yetirin. Sonra həmin əməliyyata sahib olmamalı olan hesabla cəhd edin və rədd edildiyini təsdiqləyin. Sonra VPN-dən kənar cihazdan cəhd edin və tətbiqə çatmağın mümkün olmadığını təsdiqləyin.

Saxlanılan hər inteqrasiya üçün təkrarlayın və provayderin çatdırılma jurnalını oxuyun, öz test alətinizin 200-ünün eyni şey olduğunu güman etməyin. Uğurlu VPN girişi bu nəticələrin heç biri üçün sübut deyil.

Addım 6: pis günü məşq edin

Tunel kəsildikdə nə olacağına qərar verin: iş dayanır, yoxsa başqa təsdiqlənmiş giriş üsulu onu əvəz edir. Nə seçsəniz də, yazın və bir dəfə sınayın, çünki sənədləşdirilməmiş bərpa mexanizmi kimi fövqəladə ictimai açılış axırda təzyiq altında olan biri tərəfindən həyata keçiriləcək.

Şlüzü və tətbiqi saxlayan inzibatçılar üçün bərpa girişini sahib və silinmə tarixi ilə birlikdə saxlayın. Dəyişikliyi və onun geri qaytarma şərtlərini eyni yerdə qeyd edin ki, uğursuz miqrasiya onu düzəldəcək insanları kənarda qoymasın.

Keçiddən sonra yamaqlama, hesab həyat dövrü, tətbiq avtorizasiyası və audit yenə də sizin işinizdir. Tunel girişi daraltdı; bu işlərin heç birini öz üzərinə götürmədi.