Ընկերության վեբ հավելվածը VPN-ի հետևում տեղափոխելը. անցման ուղեցույց

Պատկերացրեք փոփոխությունը օգտվողի կողմից։ Ինչ-որ մեկը սեղմում է էջանիշին, սպասում ծանոթ մուտքի էջին և փոխարենը ստանում է կապի սխալ, քանի որ հոսթի անունն այժմ պատասխանում է միայն թունելի ներսում։ Այդ մեկ պահը պարունակում է այն ամենը, ինչ միգրացիայի ծրագիրը պետք է ճիշտ անի՝ անունը, ուղին, վկայականը, հաշիվը և դրա հետևում գտնվող գործողությունը։ Անցեք ստորև նշված քայլերը այդ հերթականությամբ, և անցումը կդադարի թռիչք լինելուց։

Քայլ 1. գրի առեք, թե ինչ են անում օգտվողներն այսօր

Սկսեք հասցեի տողում գտնվող հոսթի անունից, պորտից, մարդկանց կատարած գործողություններից և նրանց օգտագործած հաշիվներից։ Եթե չեք կարող անվանել երեք հիմնական գործողությունները, պատրաստ չեք փակել հանրային մուտքը, քանի որ ընդունման ընթացքում չեք ճանաչի կոտրվածը։

Այնուհետև որոշեք, թե ով է մասնավոր լսարանը։ Կորպորատիվ VPN-ում աշխատակիցները սկիզբ են, ոչ թե պատասխան։ Պայմանագրային աշխատողները, աջակցության թիմը և ֆինանսական թիմը կարող են բոլորը կարիք ունենալ հավելվածին և կարող են բոլորը չնստել նույն մուտքի հետևում։

Քայլ 2. առանձնացրեք թունելը մուտքից

Երբ օգտվողը VPN-ի միջոցով հասնում է հավելվածին, դիտարկիչը դեռ բացում է TLS կապ հավելվածի սեփական վերջնակետին։ Վկայականը պետք է համապատասխանի այդ անվանը, և հավելվածը դեռ նույնականացնում է հաշիվը։ Թունելում ոչինչ չի փոխարինում դրանցից ոչ մեկին։

Այստեղ է, որ միգրացիաները հանգիստ սխալվում են։ Ինչ-որ մեկը որոշում է, որ մասնավոր հասցեին այլևս վավեր վկայական պետք չէ, օգտվողները սովորում են անցնել նախազգուշացման միջով, և կազմակերպությունը հանրային ազդեցությունը փոխանակել է անվտանգության նախազգուշացումներն անտեսելու վերապատրաստման ծրագրի հետ։ Եթե հավելվածին իսկապես ներքին վկայական է պետք, տրամադրեք մեկը ներքին մարմնից և ճիշտ բաշխեք վստահությունը։ Դա վերահսկվող փոփոխություն է, նախազգուշացման էջը՝ ոչ։

Թողեք լիազորումը այնտեղ, որտեղ այն արդեն կա։ NIST-ի զրոյական վստահության ճարտարապետության ամփոփումը ուղղակիորեն ասում է՝ ցանցային տեղը զգայուն գործողություն տրամադրելու պատճառ չէ։ Թունելի ներսում լինելը չպետք է միայն կարդալու հաշիվը դարձնի ադմինիստրատոր։

Քայլ 3. գտեք զանգահարողներին, ովքեր աշխատակից չեն

Բացեք հավելվածի կոնֆիգուրացիան և թվարկեք այն ամենը, ինչ խոսում է դրա հետ. ինքնության մատակարարի հետադարձ URL-ը, վճարումների մատակարարի վեբհուքը, պլանավորված ներմուծում, մոնիտորինգի զոնդ, գործընկերոջ API հաճախորդ։ Յուրաքանչյուրը սեփականատեր ունեցող կախվածություն է, և յուրաքանչյուրը կկոտրվի տարբեր պահի։

Որոշեք աջակցվող ուղի յուրաքանչյուրի համար, որը պետք է մնա։ Վեբհուքի մատակարարը չի կարող միանալ ձեր աշխատակիցների VPN-ին, ուստի կամ բացեք նեղ սահմանափակված ինտեգրացիայի վերջնակետ իր սեփական նույնականացմամբ, կամ փոխեք ինտեգրացիայի մոդելը։ Ամբողջ հավելվածը հանրային թողնելը մեկ հետադարձի պատճառով ընտրություն է, և սովորաբար սխալը։

Գրի առեք յուրաքանչյուր բացառություն՝ նպատակակետով, թույլատրված գործողությամբ, նույնականացմամբ և սեփականատիրոջով։ Ինտեգրացիային տրված ընդհանուր VPN հաշիվն այն է, ինչը բացառությունը դարձնում է մշտական։ Վերանայեք ցանկը հաջորդ մուտքի վերանայման ժամանակ, քանի որ ինտեգրացիաներն ապրում են ավելի երկար, քան դրանք ավելացրած նախագծերը։ Ավարտի ամսաթիվ չունեցող բացառությունը մշտական դիզայնի որոշում է, որը ոչ ոք չի կայացրել։

Քայլ 4. հանեք հանրային երթուղին, ոչ միայն DNS գրառումը

Անցեք հրապարակման շղթայով. DNS, բեռնվածքի հավասարակշռիչի լսողներ, հակադարձ պրոքսիի կանոններ, հոսթի հրամուր և ցանկացած այլընտրանքային անուն, որը դեռ ցույց է տալիս հին հասցեին։ Ստուգեք հասցեների երկու ընտանիքները։ Հիմնական A գրառումը փոխելը գրեթե ոչինչ չի ապացուցում, եթե ավելի հին CNAME-ը կամ IPv6 լսողը դեռ սպասարկում է հավելվածը։

Զուգահեռաբար հաստատեք, որ մասնավոր անունը լուծարվում է թունելի ներսում, և որ վկայականը ծածկում է այն անունը, որը կտպեն օգտվողները։ Օգտվողը, ով ստիպված է տեղադրել թվային հասցե, գտել է ախտանիշ, ոչ թե լուծում։

Սահմանափակեք VPN լսարանը հավելվածի ուղով։ Գրասենյակային ցանցի լայն հասանելիությունը մեկ ազդեցության որոշում փոխանակում է ավելի մեծով, և ադմինիստրատիվ միջերեսներին պետք են իրենց թույլատրված աղբյուրները՝ օգտվողի կանոնը ժառանգելու փոխարեն։

Քայլ 5. ինքներդ անցեք ընդունումը

Միացեք որպես հաստատված օգտվող, բացեք էջանիշը, ստուգեք վկայականը, մուտք գործեք և կատարեք մեկ իրական գործողություն։ Ապա փորձեք հաշիվ, որը չպետք է ունենա այդ գործողությունը, և հաստատեք, որ մերժվում է։ Ապա փորձեք VPN-ից դուրս սարքից և հաստատեք, որ հավելվածն անհասանելի է։

Կրկնեք յուրաքանչյուր պահպանված ինտեգրացիայի համար և կարդացեք մատակարարի առաքման մատյանը՝ փոխարենը ենթադրելու, որ ձեր սեփական թեստային գործիքի 200-ը նույնն է։ Հաջող VPN մուտքը այս արդյունքներից ոչ մեկի ապացույցը չէ։

Քայլ 6. փորձեք վատ օրը

Որոշեք, թե ինչ է լինում թունելի խափանման ժամանակ. աշխատանքը դադարում է, կամ ստանձնում է մեկ այլ հաստատված հասանելիության եղանակ։ Ինչ էլ ընտրեք, գրի առեք և մեկ անգամ փորձարկեք, որովհետև արտահերթ հանրային վերաբացումը որպես չփաստաթղթավորված վերականգնման մեխանիզմ ի վերջո կկատարվի ճնշման տակ գտնվող ինչ-որ մեկի կողմից։

Պահեք վերականգնման հասանելիությունը մուտքն ու հավելվածը սպասարկող ադմինիստրատորների համար՝ սեփականատիրոջ և հեռացման ամսաթվի հետ։ Գրանցեք փոփոխությունը և դրա վերադարձի պայմանները նույն տեղում, որպեսզի ձախողված միգրացիան չկտրի այն մարդկանց, ովքեր կուղղեին այն։

Անցումից հետո կարկատումը, հաշիվների կյանքի ցիկլը, հավելվածի լիազորումը և աուդիտը դեռ ձերն են։ Թունելը նեղացրեց մուտքը, այն չստանձնեց այդ աշխատանքներից ոչ մեկը։