Přesun firemní webové aplikace za VPN: průvodce přechodem

Představte si změnu z pohledu uživatele. Někdo klikne na záložku, čeká známou přihlašovací stránku a místo toho dostane chybu připojení, protože jméno hostitele nyní odpovídá jen uvnitř tunelu. Ten jediný okamžik obsahuje vše, co musí plán migrace udělat správně: jméno, cestu, certifikát, účet a operaci za nimi. Projděte níže uvedené kroky v tomto pořadí a přechod přestane být skokem.

Krok 1: zapište, co dnes uživatelé dělají

Začněte jménem hostitele v adresním řádku, portem, operacemi, které lidé provádějí, a účty, které používají. Pokud nedokážete pojmenovat tři hlavní operace, nejste připraveni zavřít veřejný vstup, protože během přejímky nepoznáte rozbitou.

Potom rozhodněte, kdo je soukromé publikum. Zaměstnanci na firemní VPN jsou začátek, ne odpověď. Dodavatelé, podpůrný tým a finanční tým mohou všichni aplikaci potřebovat a nemusí všichni sedět za stejnou bránou.

Krok 2: oddělte tunel od přihlášení

Když se uživatel dostane k aplikaci přes VPN, prohlížeč stále otevírá TLS spojení k vlastnímu koncovému bodu aplikace. Certifikát musí odpovídat tomuto jménu a aplikace stále ověřuje účet. Nic v tunelu nenahrazuje ani jedno z toho.

Právě tady se migrace tiše zvrtnou. Někdo rozhodne, že soukromá adresa už nepotřebuje platný certifikát, uživatelé se naučí proklikat varováním a organizace vyměnila veřejné vystavení za školení v ignorování bezpečnostních výzev. Pokud aplikace opravdu potřebuje interní certifikát, vystavte jej u interní autority a správně rozšiřte důvěru. To je kontrolovaná změna; stránka s varováním není.

Ponechte autorizaci tam, kde už žije. Shrnutí architektury nulové důvěry NIST to říká přímo: síťové umístění není důvod udělit citlivou operaci. Být uvnitř tunelu by nemělo změnit účet jen pro čtení na administrátora.

Krok 3: najděte volající, kteří nejsou zaměstnanci

Otevřete konfiguraci aplikace a vypište vše, co s ní komunikuje: URL zpětného volání poskytovatele identity, webhook poskytovatele plateb, naplánovaný import, monitorovací sondu, API klienta partnera. Každý je závislost s vlastníkem a každý se zlomí v jinou chvíli.

Určete podporovanou cestu pro každý, který musí zůstat. Poskytovatel webhooku se nemůže připojit k vaší zaměstnanecké VPN, takže buď vystavte úzce omezený integrační koncový bod s vlastním ověřováním, nebo změňte model integrace. Nechat celou aplikaci veřejnou kvůli jednomu zpětnému volání je volba, a obvykle špatná.

Zapište každou výjimku s cílem, povolenou operací, ověřováním a vlastníkem. Obecný VPN účet předaný integraci je způsob, jak se výjimka stane trvalou. Seznam projděte při příští revizi přístupu, protože integrace přežívají projekty, které je přidaly. Výjimka bez data vypršení je trvalé designové rozhodnutí, které nikdo neučinil.

Krok 4: vyřaďte veřejnou trasu, ne jen záznam DNS

Projděte publikační řetězec: DNS, posluchače load balanceru, pravidla reverzního proxy, hostitelský firewall a každé alternativní jméno, které stále ukazuje na starou adresu. Zkontrolujte obě rodiny adres. Změna hlavního záznamu A téměř nic nedokazuje, pokud starší CNAME nebo posluchač IPv6 aplikaci stále obsluhuje.

Souběžně potvrďte, že se soukromé jméno uvnitř tunelu překládá a že certifikát pokrývá jméno, které uživatelé napíšou. Uživatel, který musí vložit číselnou adresu, našel symptom, ne obejití.

Omezte publikum VPN na cestu aplikace. Široký přístup kancelářské síti vyměňuje jedno rozhodnutí o vystavení za větší a administrativní rozhraní potřebují vlastní povolené zdroje, místo aby dědila uživatelské pravidlo.

Krok 5: projděte přejímku sami

Připojte se jako schválený uživatel, otevřete záložku, zkontrolujte certifikát, přihlaste se a proveďte jednu skutečnou operaci. Potom zkuste účet, který by tuto operaci mít neměl, a potvrďte, že je odmítnut. Potom to zkuste ze zařízení mimo VPN a potvrďte, že aplikace je nedostupná.

Opakujte pro každou zachovanou integraci a přečtěte si doručovací protokol poskytovatele, místo abyste předpokládali, že 200 z vašeho vlastního testovacího nástroje je totéž. Úspěšné přihlášení do VPN není důkazem pro žádný z těchto výsledků.

Krok 6: nacvičte si špatný den

Rozhodněte, co se stane při výpadku tunelu: práce se zastaví, nebo převezme jiná schválená metoda přístupu. Ať zvolíte cokoli, zapište to a jednou to otestujte, protože nouzové veřejné znovuotevření jako nedokumentovaný mechanismus obnovy nakonec provede někdo pod tlakem.

Ponechte obnovovací přístup administrátorům, kteří udržují bránu a aplikaci, s vlastníkem a datem odstranění. Zaznamenejte změnu a podmínky jejího vrácení na stejné místo, aby neúspěšná migrace nezamkla lidi, kteří by ji opravili.

Po přechodu jsou záplatování, životní cyklus účtů, autorizace aplikace a audit stále vaše. Tunel zúžil vstup; žádný z těchto úkolů nepřevzal.