Перанос карпаратыўнай вэб-праграмы за VPN: кіраўніцтва па пераходзе

Уявіце змену з боку карыстальніка. Хтосьці націскае закладку, чакае знаёмую старонку ўваходу і замест гэтага атрымлівае памылку злучэння, бо імя хоста цяпер адказвае толькі ўнутры тунеля. Гэты адзіны момант змяшчае ўсё, што план міграцыі павінен зрабіць правільна: імя, шлях, сертыфікат, уліковы запіс і аперацыю за ім. Прайдзіце крокі ніжэй у гэтым парадку, і пераход перастане быць скачком.

Крок 1: запішыце, што карыстальнікі робяць сёння

Пачніце з імя хоста ў адрасным радку, порта, аперацый, якія выконваюць людзі, і ўліковых запісаў, якімі яны карыстаюцца. Калі вы не можаце назваць тры галоўныя аперацыі, вы не гатовыя зачыніць публічны ўваход, бо не пазнаеце зламаную падчас прыёмкі.

Затым вызначце, хто ёсць прыватная аўдыторыя. Супрацоўнікі ў карпаратыўным VPN — гэта пачатак, а не адказ. Падрадчыкі, супрацоўнікі падтрымкі і фінансавая каманда могуць усе мець патрэбу ў праграме і могуць не ўсе знаходзіцца за адным шлюзам.

Крок 2: аддзяліце тунель ад уваходу

Калі карыстальнік дасягае праграмы праз VPN, браўзер па-ранейшаму адкрывае TLS-злучэнне да ўласнай канчатковай кропкі праграмы. Сертыфікат павінен адпавядаць гэтаму імені, і праграма па-ранейшаму аўтэнтыфікуе ўліковы запіс. Нішто ў тунелі не замяняе ні адно, ні другое.

Менавіта тут міграцыі ціха ідуць не так. Хтосьці вырашае, што прыватны адрас больш не патрабуе сапраўднага сертыфіката, карыстальнікі вучацца праходзіць праз папярэджанне, і арганізацыя абмяняла публічную экспазіцыю на трэнінг па ігнараванні папярэджанняў бяспекі. Калі праграме сапраўды патрэбны ўнутраны сертыфікат, выдайце яго ва ўнутраным цэнтры і правільна размеркаваў давер. Гэта кантраляваная змена; старонка папярэджання ёю не з'яўляецца.

Пакіньце аўтарызацыю там, дзе яна ўжо ёсць. Анатацыя архітэктуры нулявога даверу NIST проста паказвае сутнасць: месца ў сетцы не з'яўляецца падставай для выдачы далікатнай аперацыі. Знаходжанне ўнутры тунеля не павінна ператвараць уліковы запіс толькі для чытання ў адміністратара.

Крок 3: знайдзіце выклікальнікаў, якія не з'яўляюцца супрацоўнікамі

Адкрыйце канфігурацыю праграмы і пералічыце ўсё, што з ёй размаўляе: URL зваротнага выкліку пастаўшчыка ідэнтычнасці, вэбхук пастаўшчыка плацяжоў, запланаваны імпарт, прабнік маніторынгу, кліент API партнёра. Кожны з іх — залежнасць з уладальнікам, і кожны зламаецца ў розны момант.

Вызначце падтрыманы шлях для кожнага, хто павінен застацца. Пастаўшчык вэбхука не можа далучыцца да вашага VPN для супрацоўнікаў, таму або адкрыйце вузка абмежаваную канчатковую кропку інтэграцыі з уласнай аўтэнтыфікацыяй, або змяніце мадэль інтэграцыі. Пакідаць усю праграму публічнай праз адзін зваротны выклік — гэта выбар, і звычайна няправільны.

Запішыце кожнае выключэнне з прызначэннем, дазволенай аперацыяй, аўтэнтыфікацыяй і ўладальнікам. Агульны VPN-уліковы запіс, выдадзены інтэграцыі, — гэта спосаб зрабіць выключэнне пастаянным. Перагледзьце спіс на наступным аглядзе доступу, бо інтэграцыі жывуць даўжэй за праекты, якія іх дадалі. Выключэнне без даты заканчэння — гэта пастаяннае праектнае рашэнне, якога ніхто не прымаў.

Крок 4: выведзіце публічны маршрут, а не толькі DNS-запіс

Прайдзіце па ланцугу публікацыі: DNS, слухачы балансіроўшчыка нагрузкі, правілы зваротнага проксі, хост-файрвол і любое альтэрнатыўнае імя, якое ўсё яшчэ паказвае на стары адрас. Праверце абодва сем'і адрасоў. Змена асноўнага запісу A амаль нічога не даказвае, калі старэйшы CNAME або слухач IPv6 усё яшчэ абслугоўвае праграму.

Паралельна пацвердзіце, што прыватнае імя развязваецца ўнутры тунеля і што сертыфікат пакрывае імя, якое набяруць карыстальнікі. Карыстальнік, якому даводзіцца ўстаўляць лікавы адрас, знайшоў сімптом, а не абыходны шлях.

Абмяжуйце аўдыторыю VPN шляхам праграмы. Шырокі доступ да офіснай сеткі мяняе адно рашэнне аб экспазіцыі на большае, і адміністрацыйныя інтэрфейсы патрабуюць уласных дазволеных крыніц, а не ўспадкоўвання правіла для карыстальнікаў.

Крок 5: самі прайдзіце прыёмку

Падключыцеся як ухвалены карыстальнік, адкрыйце закладку, праверце сертыфікат, увайдзіце і выканайце адну рэальную аперацыю. Затым паспрабуйце ўліковы запіс, які не павінен мець гэтай аперацыі, і пераканайцеся, што яму адмоўлена. Затым паспрабуйце з прылады па-за VPN і пераканайцеся, што праграма недаступная.

Паўтарыце для кожнай захаванай інтэграцыі і прачытайце журнал дастаўкі пастаўшчыка, замест таго каб меркаваць, што 200 ад вашага ўласнага інструмента тэставання — тое ж самае. Паспяховы ўваход у VPN не з'яўляецца доказам ні для аднаго з гэтых вынікаў.

Крок 6: адрэпетаваць дрэнны дзень

Вызначце, што адбываецца падчас збою тунеля: праца спыняецца або перабірае іншы ўхвалены спосаб доступу. Што б вы ні абралі, запішыце і праверце аднойчы, бо экстранае публічнае адкрыццё як незадакументаваны механізм аднаўлення ўрэшце выканае нехта пад ціскам.

Пакіньце доступ для аднаўлення адміністратарам, якія абслугоўваюць шлюз і праграму, з уладальнікам і датай выдалення. Запішыце змену і ўмовы яе адкату ў адным месцы, каб няўдалая міграцыя не адрэзала людзей, якія б яе выправілі.

Пасля пераходу ўстаноўка абнаўленняў, жыццёвы цыкл уліковых запісаў, аўтарызацыя праграм і аўдыт па-ранейшаму ваш клопат. Тунель звузіў уваход; ён не ўзяў на сябе ні адну з гэтых задач.