Компанияның веб-қосымшасын VPN артына көшіру: ауысу жөніндегі нұсқаулық

Өзгерісті пайдаланушы жағынан елестетіңіз. Біреу бетбелгіні басады, таныс кіру бетін күтеді, бірақ оның орнына қосылым қатесін алады, себебі хост атауы енді туннель ішінде ғана жауап береді. Сол бір сәтте көшіру жоспары дұрыс жасауы тиіс барлық нәрсе бар: атау, жол, сертификат, тіркелгі және оның артындағы операция. Төмендегі қадамдарды осы ретпен орындаңыз, сонда ауысу секіру болудан қалады.

1-қадам: пайдаланушылар бүгін не істейтінін жазыңыз

Мекенжай жолағындағы хост атауынан, порттан, адамдар орындайтын операциялардан және олар пайдаланатын тіркелгілерден бастаңыз. Егер үш негізгі операцияны атай алмасаңыз, ашық кіруді жабуға дайын емессіз, өйткені қабылдау кезінде бұзылғанын тани алмайсыз.

Содан кейін жеке аудитория кім екенін шешіңіз. Корпоративтік VPN-дегі қызметкерлер — бастама, жауап емес. Мердігерлер, қолдау қызметкерлері және қаржы тобы қосымшаға мұқтаж болуы мүмкін және олардың барлығы бір шлюздің артында отырмауы мүмкін.

2-қадам: туннельді кіруден ажыратыңыз

Пайдаланушы VPN арқылы қосымшаға жеткенде, браузер әлі де қосымшаның өз соңғы нүктесіне TLS қосылымын ашады. Сертификат сол атауға сәйкес болуы керек, ал қосымша тіркелгіні әлі де аутентификациялайды. Туннельдегі ешнәрсе екеуінің ешқайсысын алмастырмайды.

Дәл осында көшірулер үнсіз қателеседі. Біреу жеке мекенжайға енді жарамды сертификат қажет емес деп шешеді, пайдаланушылар ескертуден өтуді үйренеді, ал ұйым ашық әсерді қауіпсіздік ескертулерін елемеу бойынша оқыту бағдарламасына айырбастап алды. Егер қосымшаға шынымен ішкі сертификат қажет болса, оны ішкі органнан шығарып, сенімді дұрыс таратыңыз. Бұл бақыланатын өзгеріс; ескерту беті олай емес.

Авторизацияны бұрыннан бар жерде қалдырыңыз. NIST-тің нөлдік сенім архитектурасының қорытындысы мәселені тікелей айтады: желілік орын сезімтал операция беруге себеп емес. Туннельдің ішінде болу тек оқу тіркелгісін әкімшіге айналдырмауы керек.

3-қадам: қызметкер емес шақырушыларды табыңыз

Қосымшаның конфигурациясын ашып, онымен сөйлесетін барлығын тізімдеңіз: сәйкестендіру провайдерінің кері шақыру URL-і, төлем провайдерінің вебхукі, жоспарланған импорт, мониторинг зонды, серіктестің API клиенті. Әрқайсысы иесі бар тәуелділік, және әрқайсысы әр түрлі сәтте сынады.

Қалуы тиіс әрқайсысы үшін қолдау көрсетілетін жолды шешіңіз. Вебхук провайдері қызметкерлер VPN-іне қосыла алмайды, сондықтан не өз аутентификациясы бар тар шектелген интеграция соңғы нүктесін ашыңыз, не интеграция моделін өзгертіңіз. Бір кері шақыру бар деп бүкіл қосымшаны ашық қалдыру — таңдау, және әдетте дұрыс емес таңдау.

Әр ерекшелікті мақсат, рұқсат етілген операция, аутентификация және иесімен жазыңыз. Интеграцияға берілген жалпы VPN тіркелгісі — ерекшелікті тұрақты ететін жол. Тізімді келесі қатынау шолуында қарап шығыңыз, өйткені интеграциялар оларды қосқан жобалардан ұзақ өмір сүреді. Мерзімі жоқ ерекшелік — ешкім қабылдамаған тұрақты дизайн шешімі.

4-қадам: тек DNS жазбасын ғана емес, ашық маршрутты да алып тастаңыз

Жариялау тізбегінен өтіңіз: DNS, жүктеме теңгерушісінің тыңдаушылары, кері прокси ережелері, хосттың брандмауэры және ескі мекенжайға әлі сілтейтін кез келген балама атау. Екі мекенжай отбасын тексеріңіз. Негізгі A жазбасын өзгерту, ескі CNAME немесе IPv6 тыңдаушысы қосымшаға әлі қызмет көрсетсе, ештеңе дерлік дәлелдемейді.

Қатарласа, жеке атаудың туннель ішінде шешілетінін және сертификаттың пайдаланушылар теретін атауды қамтитынын растаңыз. Сандық мекенжайды қоюға мәжбүр пайдаланушы симптом тапты, шешім емес.

VPN аудиториясын қосымша жолымен шектеңіз. Кеңсе желісіне кең қатынау бір әсер ету шешімін үлкенірек шешіммен алмастырады, ал әкімшілік интерфейстер пайдаланушы ережесін мұра етудің орнына өздерінің рұқсат етілген көздерін қажет етеді.

5-қадам: қабылдауды өзіңіз өтіңіз

Мақұлданған пайдаланушы ретінде қосылыңыз, бетбелгіні ашыңыз, сертификатты тексеріңіз, кіріңіз және бір нақты операция орындаңыз. Содан кейін бұл операция болмауы тиіс тіркелгімен көріп, оның қабылданбағанын растаңыз. Сосын VPN сыртындағы құрылғыдан көріп, қосымшаға жету мүмкін еместігін растаңыз.

Әр сақталған интеграция үшін қайталаңыз және өз сынақ құралыңыздың 200-і бір нәрсе деп болжаудың орнына провайдердің жеткізу журналын оқыңыз. Сәтті VPN кіруі осы нәтижелердің ешқайсысына дәлел емес.

6-қадам: жаман күнді жаттықтырыңыз

Туннель үзілісі кезінде не болатынын шешіңіз: жұмыс тоқтайды немесе басқа мақұлданған қатынау әдісі қолға алады. Не таңдасаңыз да, оны жазып, бір рет сынап көріңіз, өйткені құжатталмаған қалпына келтіру механизмі ретінде төтенше ашық қайта ашу ақыр соңында қысым астындағы біреу орындайды.

Шлюз бен қосымшаны күтіп ұстайтын әкімшілер үшін иесі мен жою күнімен бірге қалпына келтіру қатынауын сақтаңыз. Өзгеріс пен оның қайтару шарттарын бір жерде жазыңыз, сонда сәтсіз көшіру оны түзететін адамдарды құлыптамайды.

Ауысудан кейін патч жабу, тіркелгі өмірлік циклі, қосымша авторизациясы және аудит әлі де сіздікі. Туннель кіруді тарылтты; ол бұл жұмыстардың ешқайсысын өз мойнына алмады.