Μεταφορά μιας εταιρικής διαδικτυακής εφαρμογής πίσω από το VPN: οδηγός μετάβασης

Φανταστείτε την αλλαγή από την πλευρά του χρήστη. Κάποιος κάνει κλικ σε έναν σελιδοδείκτη, περιμένει τη γνώριμη σελίδα σύνδεσης και αντί γι' αυτό παίρνει σφάλμα σύνδεσης, επειδή το όνομα κεντρικού υπολογιστή τώρα απαντά μόνο μέσα στο τούνελ. Αυτή η μία στιγμή περιέχει όλα όσα πρέπει να πετύχει το σχέδιο μετεγκατάστασης: το όνομα, τη διαδρομή, το πιστοποιητικό, τον λογαριασμό και τη λειτουργία πίσω από αυτά. Περάστε τα βήματα παρακάτω με αυτή τη σειρά και η μετάβαση παύει να είναι άλμα.

Βήμα 1: γράψτε τι κάνουν σήμερα οι χρήστες

Ξεκινήστε από το όνομα κεντρικού υπολογιστή στη γραμμή διευθύνσεων, τη θύρα, τις λειτουργίες που εκτελούν οι άνθρωποι και τους λογαριασμούς που χρησιμοποιούν. Αν δεν μπορείτε να ονομάσετε τις τρεις κύριες λειτουργίες, δεν είστε έτοιμοι να κλείσετε τη δημόσια είσοδο, γιατί δεν θα αναγνωρίσετε μια χαλασμένη κατά την αποδοχή.

Στη συνέχεια αποφασίστε ποιο είναι το ιδιωτικό κοινό. Οι εργαζόμενοι στο εταιρικό VPN είναι αρχή, όχι απάντηση. Εργολάβοι, προσωπικό υποστήριξης και οικονομική ομάδα μπορεί όλοι να χρειάζονται την εφαρμογή και μπορεί να μην κάθονται όλοι πίσω από την ίδια πύλη.

Βήμα 2: διαχωρίστε το τούνελ από τη σύνδεση

Όταν ο χρήστης φτάνει στην εφαρμογή μέσω του VPN, το πρόγραμμα περιήγησης ανοίγει ακόμη σύνδεση TLS προς το δικό της τελικό σημείο της εφαρμογής. Το πιστοποιητικό πρέπει να ταιριάζει με αυτό το όνομα, και η εφαρμογή εξακολουθεί να πιστοποιεί τον λογαριασμό. Τίποτα στο τούνελ δεν αντικαθιστά κανένα από τα δύο.

Εδώ οι μετεγκαταστάσεις πάνε στραβά ήσυχα. Κάποιος αποφασίζει ότι η ιδιωτική διεύθυνση δεν χρειάζεται πλέον έγκυρο πιστοποιητικό, οι χρήστες μαθαίνουν να περνούν μέσα από μια προειδοποίηση, και ο οργανισμός αντάλλαξε μια δημόσια έκθεση με ένα πρόγραμμα εκπαίδευσης στην αγνόηση των προειδοποιήσεων ασφαλείας. Αν η εφαρμογή χρειάζεται πραγματικά εσωτερικό πιστοποιητικό, εκδώστε ένα από την εσωτερική αρχή και διανείμετε σωστά την εμπιστοσύνη. Αυτή είναι ελεγχόμενη αλλαγή· μια σελίδα προειδοποίησης δεν είναι.

Κρατήστε την εξουσιοδότηση εκεί που ήδη κατοικεί. Η σύνοψη αρχιτεκτονικής μηδενικής εμπιστοσύνης του NIST το λέει ευθέως: η θέση στο δίκτυο δεν είναι λόγος για παροχή ευαίσθητης λειτουργίας. Το να βρίσκεσαι μέσα στο τούνελ δεν πρέπει να μετατρέπει λογαριασμό μόνο ανάγνωσης σε διαχειριστή.

Βήμα 3: βρείτε τους καλούντες που δεν είναι εργαζόμενοι

Ανοίξτε τη διαμόρφωση της εφαρμογής και καταγράψτε ό,τι μιλά μαζί της: το URL επανάκλησης του παρόχου ταυτότητας, το webhook ενός παρόχου πληρωμών, μια προγραμματισμένη εισαγωγή, έναν αισθητήρα παρακολούθησης, τον πελάτη API ενός συνεργάτη. Κάθε ένα είναι εξάρτηση με ιδιοκτήτη, και κάθε ένα θα σπάσει σε διαφορετική στιγμή.

Αποφασίστε μια υποστηριζόμενη διαδρομή για κάθε ένα που πρέπει να μείνει. Ένας πάροχος webhook δεν μπορεί να μπει στο VPN των εργαζομένων σας, οπότε είτε εκθέτετε ένα στενά περιορισμένο τελικό σημείο ενσωμάτωσης με δική του πιστοποίηση, είτε αλλάζετε το μοντέλο ενσωμάτωσης. Το να αφήνετε όλη την εφαρμογή δημόσια επειδή υπάρχει μία επανάκληση είναι επιλογή, και συνήθως η λάθος.

Γράψτε κάθε εξαίρεση με προορισμό, επιτρεπόμενη λειτουργία, πιστοποίηση και ιδιοκτήτη. Ένας γενικός λογαριασμός VPN που δίνεται σε μια ενσωμάτωση είναι ο τρόπος με τον οποίο μια εξαίρεση γίνεται μόνιμη. Ελέγξτε τη λίστα στην επόμενη αναθεώρηση πρόσβασης, γιατί οι ενσωματώσεις ζουν περισσότερο από τα έργα που τις πρόσθεσαν. Μια εξαίρεση χωρίς ημερομηνία λήξης είναι μια μόνιμη σχεδιαστική απόφαση που δεν πήρε κανείς.

Βήμα 4: αποσύρετε τη δημόσια διαδρομή, όχι μόνο την εγγραφή DNS

Περπατήστε την αλυσίδα δημοσίευσης: DNS, ακροατές του εξισορροπητή φόρτου, κανόνες αντίστροφου διακομιστή μεσολάβησης, τείχος προστασίας του κεντρικού υπολογιστή και κάθε εναλλακτικό όνομα που δείχνει ακόμη στην παλιά διεύθυνση. Ελέγξτε και τις δύο οικογένειες διευθύνσεων. Η αλλαγή της κύριας εγγραφής A δεν αποδεικνύει σχεδόν τίποτα αν ένα παλαιότερο CNAME ή ένας ακροατής IPv6 εξακολουθεί να εξυπηρετεί την εφαρμογή.

Παράλληλα, επιβεβαιώστε ότι το ιδιωτικό όνομα επιλύεται μέσα στο τούνελ και ότι το πιστοποιητικό καλύπτει το όνομα που θα πληκτρολογήσουν οι χρήστες. Ένας χρήστης που πρέπει να επικολλήσει αριθμητική διεύθυνση βρήκε σύμπτωμα, όχι λύση.

Περιορίστε το κοινό του VPN στη διαδρομή της εφαρμογής. Η ευρεία πρόσβαση στο δίκτυο γραφείου ανταλλάσσει μια απόφαση έκθεσης με μια μεγαλύτερη, και οι διαχειριστικές διεπαφές χρειάζονται δικές τους επιτρεπόμενες πηγές αντί να κληρονομούν τον κανόνα χρήστη.

Βήμα 5: περάστε την αποδοχή μόνοι σας

Συνδεθείτε ως εγκεκριμένος χρήστης, ανοίξτε τον σελιδοδείκτη, ελέγξτε το πιστοποιητικό, συνδεθείτε και εκτελέστε μία πραγματική λειτουργία. Στη συνέχεια δοκιμάστε έναν λογαριασμό που δεν θα έπρεπε να έχει αυτή τη λειτουργία και επιβεβαιώστε ότι απορρίπτεται. Έπειτα δοκιμάστε από συσκευή εκτός του VPN και επιβεβαιώστε ότι η εφαρμογή είναι απρόσιτη.

Επαναλάβετε για κάθε διατηρούμενη ενσωμάτωση και διαβάστε το αρχείο παράδοσης του παρόχου αντί να υποθέσετε ότι ένα 200 από το δικό σας εργαλείο δοκιμών είναι το ίδιο πράγμα. Μια επιτυχημένη σύνδεση VPN δεν είναι απόδειξη για κανένα από αυτά τα αποτελέσματα.

Βήμα 6: δοκιμάστε την κακή μέρα

Αποφασίστε τι συμβαίνει κατά τη διακοπή του τούνελ: η εργασία σταματά, ή αναλαμβάνει άλλη εγκεκριμένη μέθοδος πρόσβασης. Ό,τι κι αν επιλέξετε, γράψτε το και δοκιμάστε το μία φορά, γιατί το επείγον δημόσιο άνοιγμα ως ακατάγραφος μηχανισμός ανάκτησης θα εκτελεστεί τελικά από κάποιον υπό πίεση.

Κρατήστε πρόσβαση ανάκτησης για τους διαχειριστές που συντηρούν την πύλη και την εφαρμογή, με ιδιοκτήτη και ημερομηνία αφαίρεσης. Καταγράψτε την αλλαγή και τις συνθήκες αναστροφής της στο ίδιο μέρος, ώστε μια αποτυχημένη μετεγκατάσταση να μην κλειδώσει έξω τους ανθρώπους που θα τη διόρθωναν.

Μετά τη μετάβαση, η ενημέρωση κώδικα, ο κύκλος ζωής λογαριασμών, η εξουσιοδότηση εφαρμογών και ο έλεγχος είναι ακόμη δικά σας. Το τούνελ στένεψε την είσοδο· δεν ανέλαβε καμία από αυτές τις εργασίες.