Movi firman retan aplikaĵon malantaŭ la VPN: gvidilo pri la transiro

Imagu la ŝanĝon el la flanko de la uzanto. Iu klakas legosignon, atendas la konatan ensalutpaĝon, kaj anstataŭe ricevas konekteraron, ĉar la gastignomo nun respondas nur ene de la tunelo. Tiu ununura momento enhavas ĉion, kion la migra plano devas trafi: la nomon, la vojon, la atestilon, la konton kaj la operacion malantaŭ ĝi. Trapasu la paŝojn sube en tiu ordo, kaj la transiro ĉesas esti salto.

Paŝo 1: notu, kion uzantoj faras hodiaŭ

Komencu per la gastignomo en la adresbreto, la pordo, la operacioj, kiujn homoj plenumas, kaj la kontoj, kiujn ili uzas. Se vi ne povas nomi la tri ĉefajn operaciojn, vi ne pretas fermi la publikan enirejon, ĉar vi ne rekonos rompitan dum la akcepto.

Poste decidu, kiu estas la privata publiko. Dungitoj en la entreprena VPN estas komenco, ne respondo. Kontraktistoj, subtena teamo kaj la financa teamo eble ĉiuj bezonas la aplikaĵon kaj eble ne ĉiuj sidas malantaŭ la sama enirejo.

Paŝo 2: apartigu la tunelon de la ensaluto

Kiam la uzanto atingas la aplikaĵon tra la VPN, la retumilo ankoraŭ malfermas TLS-konekton al la propra finpunkto de la aplikaĵo. La atestilo devas kongrui kun tiu nomo, kaj la aplikaĵo ankoraŭ aŭtentikigas la konton. Nenio en la tunelo anstataŭas iun el la du.

Ĉi tie migradoj silente misas. Iu decidas, ke la privata adreso ne plu bezonas validan atestilon, uzantoj lernas klaki tra averto, kaj la organizo interŝanĝis publikan elmeton kontraŭ trejnadprogramo pri ignorado de sekurecaj avertoj. Se la aplikaĵo vere bezonas internan atestilon, eldonu unu el la interna aŭtoritato kaj disdonu la fidon ĝuste. Tio estas kontrolita ŝanĝo; averta paĝo ne estas.

Konservu la rajtigon tie, kie ĝi jam loĝas. La resumo de la nula-fido-arkitekturo de NIST diras la punkton rekte: reta loko ne estas kialo por doni delikatan operacion. Esti ene de la tunelo ne devus igi legosolan konton administranto.

Paŝo 3: trovu la alvokantojn, kiuj ne estas dungitoj

Malfermu la agordon de la aplikaĵo kaj listigu ĉion, kio parolas kun ĝi: la retroligan URL de la identeca provizanto, la retkroĉon de paga provizanto, planitan importadon, monitoran sondilon, la API-klienton de partnero. Ĉiu estas dependo kun posedanto, kaj ĉiu rompiĝos en malsama momento.

Decidu subtenatan vojon por ĉiu, kiu devas resti. Retkroĉa provizanto ne povas aliĝi al via dungita VPN, do aŭ elmontru mallarĝe limigitan integran finpunkton kun propra aŭtentikigo, aŭ ŝanĝu la integran modelon. Lasi la tutan aplikaĵon publika ĉar ekzistas unu retroligo estas elekto, kaj kutime la malĝusta.

Notu ĉiun escepton kun celo, permesata operacio, aŭtentikigo kaj posedanto. Generala VPN-konto donita al integro estas la maniero, kiel escepto fariĝas permanenta. Revizu la liston ĉe la sekva alirkontrolo, ĉar integroj postvivas la projektojn, kiuj aldonis ilin. Escepto sen findato estas permanenta dezajna decido, kiun neniu faris.

Paŝo 4: emeritigu la publikan itineron, ne nur la DNS-rikordon

Trapasu la eldonan ĉenon: DNS, aŭskultantoj de la ŝarĝobalancilo, reguloj de inversa prokurilo, gastiga fajromuro, kaj iu ajn alternativa nomo, kiu ankoraŭ montras al la malnova adreso. Kontrolu ambaŭ adresfamiliojn. Ŝanĝi la ĉefan A-rikordon preskaŭ nenion pruvas, se pli malnova CNAME aŭ IPv6-aŭskultanto ankoraŭ servas la aplikaĵon.

Paralele konfirmu, ke la privata nomo solviĝas ene de la tunelo kaj ke la atestilo kovras la nomon, kiun uzantoj tajpos. Uzanto, kiu devas alglui numeran adreson, trovis simptomon, ne solvon.

Limigu la VPN-publikon al la vojo de la aplikaĵo. Larĝa aliro al la oficeja reto interŝanĝas unu elmetan decidon kontraŭ pli granda, kaj administraj interfacoj bezonas proprajn permesitajn fontojn anstataŭ heredi la uzantregulon.

Paŝo 5: mem trapasu la akcepton

Konektiĝu kiel aprobita uzanto, malfermu la legosignon, kontrolu la atestilon, ensalutu kaj plenumu unu realan operacion. Poste provu konton, kiu ne devus havi tiun operacion, kaj konfirmu, ke ĝi estas rifuzata. Poste provu el aparato ekster la VPN kaj konfirmu, ke la aplikaĵo neatingeblas.

Ripetu por ĉiu retenita integro, kaj legu la liveran protokolon de la provizanto anstataŭ supozi, ke 200 el via propra testilo estas la sama afero. Sukcesa VPN-ensaluto ne estas pruvo por iu ajn el tiuj rezultoj.

Paŝo 6: provludu la malbonan tagon

Decidu, kio okazas dum tunela paneo: la laboro haltas, aŭ alia aprobita alirmetodo transprenas. Kion ajn vi elektas, notu ĝin kaj testu ĝin unufoje, ĉar urĝa publika remalfermo kiel nedokumentita restaŭra mekanismo fine estos plenumita de iu sub premo.

Konservu restaŭran aliron por la administrantoj, kiuj prizorgas la enirejon kaj la aplikaĵon, kun posedanto kaj forigodato. Registru la ŝanĝon kaj ĝiajn returnigajn kondiĉojn en la sama loko, por ke malsukcesa migrado ne ŝlosu eksteren la homojn, kiuj riparus ĝin.

Post la transiro, flikado, konta vivociklo, aplikaĵa rajtigo kaj revizado ankoraŭ estas viaj. La tunelo mallarĝigis la eniron; ĝi transprenis neniun el tiuj taskoj.