Enpresa web aplikazio bat VPNaren atzera eramatea: mozketa gida

Imajinatu aldaketa erabiltzailearen aldetik. Norbaitek laster-marka bat klikatzen du, ohiko saio-hasiera orria espero du, eta, horren ordez, konexio-errore bat jasotzen du, ostalari-izena orain tunelaren barruan bakarrik erantzuten duelako. Une bakar horrek migrazio-planak ondo egin behar duen guztia biltzen du: izena, bidea, ziurtagiria, kontua eta haren atzean dagoen eragiketa. Jarraitu beheko pausoak ordena horretan, eta mozketak ez du jauzi izateari utziko.

Pausoa 1: idatzi erabiltzaileek gaur egiten dutena

Hasi helbide-barran dagoen ostalari-izenarekin, portuarekin, jendeak egiten dituen eragiketekin eta erabiltzen dituen kontuekin. Hiru eragiketa nagusiak izendatzen ez badituzu, ez zaude prest sarrera publikoa ixteko, ez baitzara onarpen-fasean hondatuta dagoen bat ezagutzeko gai izango.

Ondoren, erabaki nor den publiko pribatua. Enpresako VPNan dauden langileak hasiera dira, ez erantzuna. Kontratistek, laguntza-taldeak eta finantza-taldeak aplikazioa behar izan dezakete guztiek, eta baliteke denek ate beraren atzean ez egotea.

Pausoa 2: bereizi tunela saio-hasieratik

Erabiltzaileak VPNaren bidez aplikaziora iristen denean, arakatzaileak oraindik TLS konexio bat irekitzen du aplikazioaren berezko amaiera-puntura. Ziurtagiriak izen horrekin bat egin behar du, eta aplikazioak kontua autentifikatzen jarraitzen du. Tunelak ez du bietako bat ere ordezkatzen.

Hemen okertzen dira migrazioak isil-isilik. Norbaitek erabakitzen du helbide pribatuak ez duela ziurtagiri baliodunik behar, erabiltzaileek abisu bat zeharkatzen ikasten dute, eta erakundeak esposizio publikoa segurtasun-abisuak ezikusiaren prestakuntza-programa baten truke aldatu du. Aplikazioak benetan barne-ziurtagiri bat behar badu, eman bat barne-agintaritzatik eta banatu konfiantza behar bezala. Aldaketa kontrolatua da hori; abisu-orria ez da.

Mantendu baimena jada dagoen tokian. NISTen zero-trust arkitekturaren laburpenak zuzenean esaten du: sare-kokapena ez da eragiketa sentikor bat emateko arrazoia. Tunelaren barruan egoteak ez luke irakurketa-soiliko kontu bat administratzaile bihurtu behar.

Pausoa 3: aurkitu langileak ez diren deitzaileak

Ireki aplikazioaren konfigurazioa eta zerrendatu harekin hitz egiten duen guztia: identitate-hornitzailearen itzulera-URLa, ordainketa-hornitzaile baten webhooka, inportazio programatua, monitorizazio-zunda bat, bazkide baten API bezeroa. Bakoitza jabea duen mendekotasuna da, eta bakoitza une desberdinean apurtuko da.

Erabaki bide onartu bat geratu behar duen bakoitzarentzat. Webhook hornitzaile batek ezin du zure langileen VPNan sartu, beraz, edo autentifikazio propioa duen integrazio amaiera-puntu estu bat erakutsi, edo integrazio-eredua aldatu. Aplikazio osoa publiko uztea atzera-dei bat dagoelako aukera bat da, eta normalean okerra.

Idatzi salbuespen bakoitza helmugarekin, baimendutako eragiketarekin, autentifikazioarekin eta jabearekin. Integrazio bati emandako VPN kontu generiko bat da salbuespena iraunkor bihurtzeko modua. Berrikusi zerrenda hurrengo sarbide-berrikuspenean, integrazioek gehitu zituzten proiektuak baino gehiago irauten dutelako. Iraungitze-datarik gabeko salbuespena inork hartu ez zuen diseinu-erabaki iraunkorra da.

Pausoa 4: erretiratu bide publikoa, ez soilik DNS erregistroa

Ibil ezazu argitalpen-katea: DNSa, karga-balantzaztailearen entzuleak, alderantzizko proxyaren arauak, ostalariaren suebakia eta oraindik helbide zaharrean seinalatzen duen edozein izen alternatibo. Egiaztatu bi helbide-familia. A erregistro nagusia aldatzeak ia ezer ez du frogatzen CNAME zaharrago batek edo IPv6 entzule batek aplikazioari zerbitzatzen badio.

Aldi berean, egiaztatu izen pribatua tunelean ebazten dela eta ziurtagiriak erabiltzaileek idatziko duten izena estaltzen duela. Helbide numerikoa itsatsi behar duen erabiltzaileak sintoma bat aurkitu du, ez irtenbide bat.

Mugatu VPNaren publikoa aplikazioaren bidera. Bulegoko sarera sarbide zabalak esposizio-erabaki bat handiago batekin trukatzen du, eta administrazio-interfaziek beren iturburu baimenduak behar dituzte, erabiltzaile-araua oinordetzan hartu beharrean.

Pausoa 5: ibili onarpena zeuk

Konektatu onartutako erabiltzaile gisa, ireki laster-marka, egiaztatu ziurtagiria, hasi saioa eta egin eragiketa erreal bat. Ondoren, probatu eragiketa hori izan behar ez duen kontu batekin eta egiaztatu ukatzen zaiola. Gero, probatu VPNetik kanpoko gailu batetik eta egiaztatu aplikazioa iristezina dela.

Errepikatu mantendutako integrazio bakoitzeko, eta irakurri hornitzailearen entrega-erregistroa, zure proba-tresnaren 200 bat gauza bera dela suposatu beharrean. VPN saio-hasiera arrakastatsua ez da emaitza horietako bakoitzerako froga.

Pausoa 6: entseiatu egun txarra

Erabaki zer gertatzen den tunelaren etenaldian: lana gelditzen da, edo beste sarbide-metodo onartu batek hartzen du lekukoa. Edozer aukeratzen duzula, idatzi eta probatu behin, larrialdiko berrirekitze publikoa dokumentatu gabeko berreskuratze-mekanismo gisa presiopean dagoen norbaitek egingo baitu azkenean.

Mantendu berreskuratze-sarbidea atea eta aplikazioa mantentzen dituzten administratzaileentzat, jabearekin eta kentze-datarekin. Erregistratu aldaketa eta haren itzultze-baldintzak leku berean, migrazio huts batek konponduko luketenak kanpoan utz ez ditzan.

Mozketaren ondoren, adabakiak, kontuen bizi-zikloa, aplikazioaren baimena eta auditoretza zureak dira oraindik. Tunelak sarrera estutu zuen; ez zuen zeregin horietako bat ere bere gain hartu.