Ettevõtte veebirakenduse viimine VPN-i taha: ülemineku juhend

Kujutage muudatust ette kasutaja poolelt. Keegi klõpsab järjehoidjal, ootab tuttavat sisselogimislehte ja saab hoopis ühenduse vea, sest hostinimi vastab nüüd ainult tunnelis. See üks hetk sisaldab kõike, mida migratsiooniplaan peab õigesti tegema: nimi, tee, sertifikaat, konto ja selle taga olev toiming. Käige allolevad sammud selles järjekorras läbi ja üleminek ei ole enam hüpe.

Samm 1: kirjutage üles, mida kasutajad täna teevad

Alustage hostinimest aadressiribal, pordist, inimeste tehtavatest toimingutest ja kasutatavatest kontodest. Kui te ei suuda nimetada kolme peamist toimingut, ei ole te valmis avalikku sissepääsu sulgema, sest te ei tunne vastuvõtul ära katkist.

Seejärel otsustage, kes on privaatne publik. Töötajad ettevõtte VPN-is on algus, mitte vastus. Töövõtjad, tugipersonal ja finantsmeeskond võivad kõik rakendust vajada ja ei pruugi kõik istuda sama lüüsi taga.

Samm 2: eraldage tunnel sisselogimisest

Kui kasutaja jõuab rakenduseni VPN-i kaudu, avab brauser endiselt TLS-ühenduse rakenduse enda lõpp-punkti. Sertifikaat peab selle nimega sobima ja rakendus autendib endiselt konto. Miski tunnelis ei asenda kumbagi.

Siin lähevad migratsioonid vaikselt viltu. Keegi otsustab, et privaatne aadress ei vaja enam kehtivat sertifikaati, kasutajad õpivad hoiatusest läbi klõpsama ja organisatsioon on vahetanud avaliku paljastuse turvahoiatuste eiramise koolituse vastu. Kui rakendus vajab tõesti sisemist sertifikaati, väljastage see sisemisest asutusest ja jagage usaldust korralikult. See on kontrollitud muudatus; hoiatuse lehekülg ei ole.

Jätke autoriseerimine sinna, kus see juba on. NIST-i nullusalduse arhitektuuri kokkuvõte ütleb selle otse: võrgu asukoht ei ole põhjus tundliku toimingu andmiseks. Tunnelis viibimine ei tohiks muuta ainult lugemise kontot administraatoriks.

Samm 3: leidke kutsujad, kes ei ole töötajad

Avage rakenduse konfiguratsioon ja loetlege kõik, mis sellega räägib: identiteedipakkuja tagasikutse URL, maksepakkuja veebihaak, ajastatud import, monitooringu sond, partneri API klient. Igaüks on sõltuvus omanikuga ja igaüks katkeb erineval hetkel.

Otsustage toetatud tee igaühe jaoks, mis peab jääma. Veebihaagi pakkuja ei saa liituda teie töötajate VPN-iga, seega kas avaldage kitsalt piiratud integratsiooni lõpp-punkt oma autentimisega või muutke integratsioonimudelit. Kogu rakenduse avalikuks jätmine ühe tagasikutse tõttu on valik ja tavaliselt vale.

Kirjutage iga erand üles sihtkoha, lubatud toimingu, autentimise ja omanikuga. Integratsioonile antud üldine VPN-konto on viis, kuidas erand muutub püsivaks. Vaadake nimekiri üle järgmisel juurdepääsuülevaatusel, sest integratsioonid elavad kauem kui projektid, mis need lisasid. Erand ilma aegumiskuupäevata on püsiv disainiotsus, mida keegi ei teinud.

Samm 4: kõrvaldage avalik marsruut, mitte ainult DNS-kirje

Käige läbi avaldamisahel: DNS, koormusjaoturi kuulajad, pöördproksi reeglid, hosti tulemüür ja iga alternatiivne nimi, mis osutab veel vanale aadressile. Kontrollige mõlemat aadressiperekonda. Põhilise A-kirje muutmine ei tõesta peaaegu midagi, kui vanem CNAME või IPv6 kuulaja teenindab rakendust endiselt.

Paralleelselt kinnitage, et privaatne nimi lahendatakse tunnelis ja et sertifikaat katab nime, mille kasutajad sisestavad. Kasutaja, kes peab kleepima numbrilise aadressi, on leidnud sümptomi, mitte lahenduse.

Piirake VPN-i publik rakenduse teega. Lai juurdepääs kontorivõrgule vahetab ühe paljastusotsuse suurema vastu ja haldusliidesed vajavad oma lubatud allikaid, mitte kasutajareegli pärimist.

Samm 5: käige vastuvõtt ise läbi

Ühenduge heakskiidetud kasutajana, avage järjehoidja, kontrollige sertifikaati, logige sisse ja teostage üks tegelik toiming. Seejärel proovige kontot, millel ei peaks seda toimingut olema, ja kinnitage, et see keelatakse. Seejärel proovige seadmest väljaspool VPN-i ja kinnitage, et rakendus on kättesaamatu.

Korrake iga säilitatud integratsiooni puhul ja lugege pakkuja kohaletoimetamise logi, selle asemel et eeldada, et teie enda testtööriista 200 on sama asi. Edukas VPN-i sisselogimine ei ole tõend ühegi sellise tulemuse kohta.

Samm 6: harjutage halba päeva

Otsustage, mis juhtub tunneli katkestuse ajal: töö peatub või võtab üle teine heakskiidetud juurdepääsumeetod. Mida iganes valite, kirjutage see üles ja testige üks kord, sest hädaolukorras avalik taasavamine dokumenteerimata taastemehhanismina viiakse lõpuks läbi kellegi poolt surve all.

Jätke taastamise juurdepääs administraatoritele, kes hooldavad lüüsi ja rakendust, omaniku ja eemaldamiskuupäevaga. Registreerige muudatus ja selle tagasipööramise tingimused samas kohas, et ebaõnnestunud migratsioon ei lukustaks välja inimesi, kes selle parandaksid.

Pärast üleminekut on paikamine, kontode elutsükkel, rakenduse autoriseerimine ja auditeerimine endiselt teie töö. Tunnel kitsendas sissepääsu; see ei võtnud ühtegi neist ülesannetest üle.