Að færa fyrirtækjaverf forrit fyrir aftan VPN: leiðarvísir um skiptinguna

Ímyndaðu þér breytinguna frá sjónarhóli notandans. Einhver smellir á bókamerki, væntir hinnar kunnuglegu innskráningarsíðu og fær í staðinn tengivillu vegna þess að hýslisnafnið svarar nú aðeins inni í göngunni. Sú eina stund inniheldur allt sem færsluáætlunin verður að gera rétt: nafnið, slóðina, skírteinið, reikninginn og aðgerðina sem liggur að baki. Farðu í gegnum skrefin hér að neðan í þeirri röð og skiptingin hættir að vera stökk.

Skref 1: skrifaðu niður hvað notendur gera í dag

Byrjaðu á hýslisnafninu í veffangastikunni, gáttinni, aðgerðunum sem fólk framkvæmir og reikningunum sem það notar. Ef þú getur ekki nefnt þrjár helstu aðgerðirnar ertu ekki tilbúin að loka opinberu inngöngunni, því þú munt ekki þekkja biluðu aðgerðina við viðtökuna.

Ákveddu síðan hverjir eru einkaaðilar. Starfsmenn á fyrirtækja-VPN eru byrjun, ekki svar. Verktakar, stuðningsfólk og fjármálateymið gætu öll þurft forritið og gætu ekki öll setið fyrir aftan sömu gáttina.

Skref 2: aðskildu gönguna frá innskráningunni

Þegar notandinn nær forritinu í gegnum VPN opnar vafrinn enn TLS-tengingu við eigin endapunkt forritsins. Skírteinið verður að passa við það nafn og forritið auðkennir reikninginn enn. Ekkert í göngunni kemur í stað hvors tveggja.

Hér fara færslur hljóðlega úrskeiðis. Einhver ákveður að einkaveffangið þurfi ekki lengur gilt skírteini, notendur læra að smella í gegnum viðvörun og stofnunin hefur skipt opinberri útsetningu fyrir þjálfun í að hunsa öryggisviðvaranir. Ef forritið þarf raunverulega innra skírteini skaltu gefa út eitt frá innra yfirvaldi og dreifa traustinu almennilega. Það er stýrð breyting; viðvörunarsíða er það ekki.

Haltu heimildinni þar sem hún býr nú þegar. Samantekt NIST um núlltraustarkitektúr segir málið beint: staðsetning í netkerfi er ekki ástæða til að veita viðkvæma aðgerð. Að vera inni í göngunni ætti ekki að gera lesreikning að stjórnanda.

Skref 3: finndu símtöluaðilana sem eru ekki starfsmenn

Opnaðu stillingar forritsins og skráðu allt sem talar við það: endurkallsveffang auðkenningarveitandans, vefgrip vefgreiðsluveitanda, áætlaðan innflutning, eftirlitsprufu, API-viðskiptavin samstarfsaðila. Hvert er háð með eiganda og hvert mun brotna á mismunandi augnabliki.

Ákveddu studda leið fyrir hvert þeirra sem verður að vera áfram. Vefgreiðsluveitandi getur ekki gengið í starfsmanna-VPN þitt, svo annaðhvort birtirðu þröngt afmarkaðan samþættingar endapunkt með eigin auðkenningu eða breytir samþættingarlíkaninu. Að láta allt forritið vera opinbert vegna eins endurkalls er val, og venjulega rangt.

Skrifaðu niður hverja undantekningu með áfangastað, leyfðri aðgerð, auðkenningu og eiganda. Almennt VPN-reikningur sem gefinn er samþættingu er leiðin sem undantekning verður varanleg. Farðu yfir listann á næstu aðgangsúttekt, því samþættingar lifa lengur en verkefnin sem bættu þeim við. Undantekning án lokadags er varanleg hönnunarákvörðun sem enginn tók.

Skref 4: leggðu opinberu leiðina af, ekki bara DNS-færsluna

Farðu í gegnum útgáfukeðjuna: DNS, hlustendur hleðsludreifisins, reglur öfugs milliþjóns, hýsilvegg og hvaða varanafn sem enn bendir á gamla veffangið. Athugaðu báðar veffangafjölskyldur. Að breyta aðal-A-færslunni sannar næstum ekkert ef eldra CNAME eða IPv6-hlustandi þjónar forritinu enn.

Samhliða skaltu staðfesta að einkanafnið leysist inni í göngunni og að skírteinið nái yfir nafnið sem notendur munu slá inn. Notandi sem þarf að líma tölulegt veffang hefur fundið einkenni, ekki lausn.

Takmarkaðu VPN-áhorfendur við slóð forritsins. Víðtækur aðgangur að skrifstofunetinu skiptir einni útsetningarákvörðun fyrir stærri og stjórnviðmót þurfa eigin leyfðar uppsprettur í stað þess að erfa notendaregluna.

Skref 5: farðu sjálf/ur í gegnum viðtökuna

Tengstu sem samþykktur notandi, opnaðu bókamerkið, athugaðu skírteinið, skráðu þig inn og framkvæmdu eina raunverulega aðgerð. Prófaðu síðan reikning sem ætti ekki að hafa þá aðgerð og staðfestu að honum sé synjað. Prófaðu síðan frá tæki utan VPN og staðfestu að forritið sé óaðgengilegt.

Endurtaktu fyrir hverja varðveitta samþættingu og lestu afhendingarskrá veitandans í stað þess að gera ráð fyrir að 200 frá þínu eigin prófunartóli sé það sama. Árangursrík VPN-innskráning er ekki sönnun fyrir neinum þessara niðurstaðna.

Skref 6: æfðu slæma daginn

Ákveddu hvað gerist þegar ganga dettur út: vinnan stöðvast eða önnur samþykkt aðgangsaðferð tekur við. Hvað sem þú velur, skrifaðu það niður og prófaðu einu sinni, því neyðaropnun fyrir almenning sem óskjöluð endurheimtaraðferð verður að lokum framkvæmd af einhverjum undir þrýstingi.

Haltu endurheimtaðgangi fyrir stjórnendurna sem viðhalda gáttinni og forritinu, með eiganda og dagsetningu fjarlægingar. Skráðu breytinguna og skilyrði hennar fyrir afturköllun á sama stað, svo misheppnuð færsla læsi ekki út fólkinu sem myndi laga hana.

Eftir skiptinguna eru plástrun, lífsferill reikninga, heimild forrita og endurskoðun enn þín. Gangan þrengdi inngönguna; hún tók ekki yfir neitt þessara verkefna.