Įmonės interneto programos perkėlimas už VPN: perėjimo vadovas

Įsivaizduokite pokytį iš naudotojo pusės. Kažkas spusteli žymę, tikisi pažįstamo prisijungimo puslapio ir vietoj to gauna ryšio klaidą, nes pagrindinio kompiuterio vardas dabar atsako tik tunelio viduje. Tas vienas momentas apima viską, ką migracijos planas turi padaryti teisingai: vardą, kelią, sertifikatą, paskyrą ir už jų esančią operaciją. Peržiūrėkite toliau pateiktus veiksmus šia tvarka ir perėjimas nustos būti šuoliu.

1 veiksmas: užrašykite, ką naudotojai daro šiandien

Pradėkite nuo pagrindinio kompiuterio vardo adreso juostoje, prievado, žmonių atliekamų operacijų ir jų naudojamų paskyrų. Jei negalite įvardyti trijų pagrindinių operacijų, nesate pasirengę uždaryti viešo įėjimo, nes priėmimo metu neatpažinsite sugedusios.

Tada nuspręskite, kas yra privati auditorija. Darbuotojai įmonės VPN yra pradžia, o ne atsakymas. Rangovams, palaikymo personalui ir finansų komandai gali prireikti programos, ir jie gali ne visi sėdėti už to paties tinklų sietuvo.

2 veiksmas: atskirkite tunelį nuo prisijungimo

Kai naudotojas pasiekia programą per VPN, naršyklė vis tiek atidaro TLS ryšį su pačios programos galiniu tašku. Sertifikatas turi atitikti tą vardą, o programa vis tiek autentifikuoja paskyrą. Niekas tunele nepakeičia nė vieno iš jų.

Čia migracijos tyliai suklysta. Kažkas nusprendžia, kad privačiam adresui nebereikia galiojančio sertifikato, naudotojai išmoksta spustelėti pro įspėjimą, o organizacija iškeitė viešą ekspoziciją į mokymus ignoruoti saugumo įspėjimus. Jei programai tikrai reikia vidinio sertifikato, išduokite jį iš vidinės institucijos ir tinkamai paskirstykite pasitikėjimą. Tai kontroliuojamas pokytis; įspėjimo puslapis nėra.

Palikite autorizaciją ten, kur ji jau yra. NIST nulinio pasitikėjimo architektūros santrauka tiesiogiai sako: tinklo vieta nėra priežastis suteikti jautrią operaciją. Buvimas tunelio viduje neturėtų paversti tik skaitymo paskyros administratoriumi.

3 veiksmas: raskite skambintojus, kurie nėra darbuotojai

Atidarykite programos konfigūraciją ir išvardykite viską, kas su ja kalba: tapatybės teikėjo atgalinio iškvietimo URL, mokėjimų teikėjo žiniatinklio kabliukas, suplanuotas importas, stebėjimo zondas, partnerio API klientas. Kiekvienas yra priklausomybė su savininku, ir kiekvienas sulūš skirtingu momentu.

Nuspręskite palaikomą kelią kiekvienam, kuris turi likti. Žiniatinklio kabliuko teikėjas negali prisijungti prie jūsų darbuotojų VPN, todėl arba atskleiskite siaurai apibrėžtą integracijos galinį tašką su savo autentifikavimu, arba pakeiskite integracijos modelį. Palikti visą programą viešą dėl vieno atgalinio iškvietimo yra pasirinkimas, ir paprastai neteisingas.

Užrašykite kiekvieną išimtį su paskirties vieta, leidžiama operacija, autentifikavimu ir savininku. Bendra VPN paskyra, duota integracijai, yra būdas išimčiai tapti nuolatine. Peržiūrėkite sąrašą kitos prieigos peržiūros metu, nes integracijos gyvena ilgiau nei jas pridėję projektai. Išimtis be galiojimo datos yra nuolatinis dizaino sprendimas, kurio niekas nepriėmė.

4 veiksmas: atšaukite viešą maršrutą, o ne tik DNS įrašą

Pereikite publikavimo grandinę: DNS, apkrovos balansuotojo klausytuvai, atvirkštinio tarpinio serverio taisyklės, pagrindinio kompiuterio ugniasienė ir bet koks alternatyvus vardas, kuris vis dar nurodo seną adresą. Patikrinkite abi adresų šeimas. Pakeisti pagrindinį A įrašą beveik nieko neįrodo, jei senesnis CNAME arba IPv6 klausytuvas vis dar aptarnauja programą.

Lygiagrečiai patvirtinkite, kad privatus vardas išsprendžiamas tunelio viduje ir kad sertifikatas apima vardą, kurį naudotojai įves. Naudotojas, kuriam tenka įklijuoti skaitmeninį adresą, rado simptomą, o ne sprendimą.

Apribokite VPN auditoriją programos keliu. Plati prieiga prie biuro tinklo iškeičia vieną ekspozicijos sprendimą į didesnį, o administracinėms sąsajoms reikia savų leidžiamų šaltinių, o ne naudotojo taisyklės paveldėjimo.

5 veiksmas: patys pereikite priėmimą

Prisijunkite kaip patvirtintas naudotojas, atidarykite žymę, patikrinkite sertifikatą, prisijunkite ir atlikite vieną tikrą operaciją. Tada pabandykite paskyrą, kuri neturėtų turėti šios operacijos, ir patvirtinkite, kad jai atsisakoma. Tada pabandykite iš įrenginio už VPN ribų ir patvirtinkite, kad programa nepasiekiama.

Pakartokite kiekvienai išsaugotai integracijai ir skaitykite teikėjo pristatymo žurnalą, o ne manykite, kad 200 iš jūsų pačių bandymo įrankio yra tas pats. Sėkmingas VPN prisijungimas nėra nė vieno iš šių rezultatų įrodymas.

6 veiksmas: repetuokite blogą dieną

Nuspręskite, kas vyksta tunelio sutrikimo metu: darbas sustoja arba perima kitas patvirtintas prieigos būdas. Kad ir ką pasirinktumėte, užrašykite ir išbandykite vieną kartą, nes avarinis viešas atidarymas kaip nedokumentuotas atkūrimo mechanizmas ilgainiui bus atliktas ko nors, kas dirba esant spaudimui.

Palikite atkūrimo prieigą administratoriams, kurie prižiūri tinklų sietuvą ir programą, su savininku ir pašalinimo data. Užregistruokite pokytį ir jo atšaukimo sąlygas toje pačioje vietoje, kad nepavykusi migracija neužrakintų žmonių, kurie ją sutvarkytų.

Po perėjimo pleistrų diegimas, paskyrų gyvavimo ciklas, programos autorizacija ir auditas vis dar jūsų. Tunelis susiaurino įėjimą; jis neperėmė nė vienos iš šių užduočių.