In bedriuwswebapp efter de VPN pleatse: in gids foar de oerstap

Stel jo de feroaring foar fan 'e kant fan 'e brûker. Immen klikt op in blêdwizer, ferwachtet de fertroude oanmeldside en krijt ynstee in ferbiningsflater, om't de hostnamme no allinnich yn 'e tunnel antwurdet. Dat iene momint befettet alles wat it migraasjeplan goed dwaan moat: de namme, it paad, it sertifikaat, it akkount en de operaasje dêrefter. Wurkje de stappen hjirûnder yn dy folchoarder troch en de oerstap is gjin sprong mear.

Stap 1: skriuw op wat brûkers hjoed dogge

Begjin mei de hostnamme yn 'e adresbalke, de poarte, de operaasjes dy't minsken dogge en de akkounts dy't se brûke. As jo de trije wichtichste operaasjes net beneame kinne, binne jo net klear om de iepenbiere yngong te sluten, want jo sille by de akseptaasje in stikken iene net werkenne.

Bepaal dêrnei wa't it partikuliere publyk is. Meiwurkers op 'e bedriuws-VPN binne in begjin, net in antwurd. Kontraktorren, stipersoniel en it finansjele team hawwe miskien allegear de applikaasje nedich en sitte miskien net allegear efter deselde gateway.

Stap 2: skied de tunnel fan 'e oanmelding

As de brûker de applikaasje fia de VPN berikt, iepenet de browser noch altyd in TLS-ferbining nei it eigen einpunt fan 'e applikaasje. It sertifikaat moat by dy namme passe, en de applikaasje autentisearret noch altyd it akkount. Neat oan 'e tunnel ferfangt ien fan beide.

Hjir geane migraasjes stil mis. Immen beslút dat it partikuliere adres gjin jildich sertifikaat mear nedich hat, brûkers leare troch in warskôging te klikken, en de organisaasje hat in iepenbiere bleatstelling ferruile foar in trainingsprogramma yn it negearjen fan feiligenswarskôgingen. As de applikaasje echt in yntern sertifikaat nedich hat, jou dan ien út fan 'e ynterne autoriteit en ferspried it fertrouwen goed. Dat is in kontrolearre feroaring; in warskôgingsside is dat net.

Hâld autorisaasje wêr't it al wennet. De gearfetting fan 'e nul-fertrouwen-arsjitektuer fan NIST seit it direkt: netwurkplak is gjin reden om in gefoelige operaasje te jaan. Yn 'e tunnel wêze moat in allinnich-lêzen-akkount net yn in administrator feroarje.

Stap 3: fyn de oproppers dy't gjin meiwurkers binne

Iepenje de konfiguraasje fan 'e applikaasje en list alles op dat der mei praat: de callback-URL fan 'e identiteitsprovider, de webhook fan in betellingsprovider, in plande ymport, in monitoringsprobe, de API-klant fan in partner. Elk is in ôfhinklikens mei in eigner, en elk sil op in oar momint brekke.

Bepaal in stipe paad foar elk dat bliuwe moat. In webhookprovider kin net by jo meiwurkers-VPN komme, dus of eksposearje in smel beheind yntegraasje-einpunt mei eigen autentikaasje, of feroarje it yntegraasjemodel. De hiele applikaasje iepenbier litte om't der ien callback bestiet is in kar, en meastentiids de ferkearde.

Skriuw elke útsûndering op mei bestimming, tastiene operaasje, autentikaasje en eigner. In generyk VPN-akkount dat oan in yntegraasje jûn wurdt, is hoe't in útsûndering permanint wurdt. Review de list by de folgjende tagongsreview, want yntegraasjes libje langer as de projekten dy't se tafoege hawwe. In útsûndering sûnder ferfaldatum is in permaninte ûntwerpbeslissing dy't nimmen nommen hat.

Stap 4: loek de iepenbiere rûte werom, net allinnich it DNS-record

Wurkje de publikaasjekeatling troch: DNS, listener fan 'e loadbalancer, regels fan 'e omkearde proxy, hostfirewall en elke alternative namme dy't noch nei it âlde adres wiist. Kontrolearje beide adresfamyljes. It haad-A-record feroarje bewiist hast neat as in âldere CNAME of in IPv6-listener de app noch tsjinnet.

Befêstigje tagelyk dat de partikuliere namme yn 'e tunnel oplost en dat it sertifikaat de namme dekt dy't brûkers yntype sil. In brûker dy't in nûmerike adres plakke moat, hat in symptoom fûn, gjin omwei.

Behein it VPN-publyk ta it paad fan 'e applikaasje. Breede tagong ta it kantoarnetwurk ruilet ien bleatstellingsbeslissing foar in gruttere, en administratyf-ynterfaces hawwe har eigen tastiene boarnen nedich ynstee fan 'e brûkersregel te erven.

Stap 5: rin de akseptaasje sels troch

Ferbinje as goedkarde brûker, iepenje de blêdwizer, kontrolearje it sertifikaat, meld jo oan en do doch ien echte operaasje. Besykje dan in akkount dat dy operaasje net hawwe moat en befêstigje dat it wegere wurdt. Besykje dan fan in apparaat bûten de VPN en befêstigje dat de applikaasje net te berikken is.

Werhelje foar elke beholden yntegraasje, en lês it leveringslog fan 'e provider ynstee fan oan te nimmen dat in 200 fan jo eigen testark itselde is. In slagge VPN-aanmelding is gjin bewiis foar ien fan dizze resultaten.

Stap 6: oefenje de minne dei

Bepaal wat der bart by in tunnelstoaring: it wurk stoppet, of in oare goedkarde tagongswize nimt oer. Wat jo ek kieze, skriuw it op en test it ien kear, want need-iepenbiering as in net-dokumintearre herstelmechanisme sil úteinlik troch immen ûnder druk útfierd wurde.

Hâld hersteltagong foar de administrateurs dy't de gateway en de applikaasje ûnderhâlde, mei in eigner en in ferwideringsdatum. Registrearje de feroaring en har weromsetbetingsten op itselde plak, sadat in mislearre migraasje de minsken dy't it reparearje soene net bûten slút.

Nei de oerstap binne patchjen, akkountlibbenssyklus, applikaasje-autorisaasje en audit noch altyd fan jo. De tunnel ferneatige de yngong; hy naam gjin fan dy taken oer.