Uzņēmuma tīmekļa lietotnes pārcelšana aiz VPN: pārejas ceļvedis

Iedomājieties izmaiņas no lietotāja puses. Kāds noklikšķina uz grāmatzīmes, gaida pazīstamo pieteikšanās lapu un tā vietā saņem savienojuma kļūdu, jo resursdatora nosaukums tagad atbild tikai tuneļa iekšpusē. Šis viens mirklis satur visu, kas migrācijas plānam jāpaveic pareizi: nosaukums, ceļš, sertifikāts, konts un aiz tiem esošā darbība. Izpildiet tālāk minētās darbības šajā secībā, un pāreja pārstās būt lēciens.

Solis 1: pierakstiet, ko lietotāji dara šodien

Sāciet ar resursdatora nosaukumu adreses joslā, portu, cilvēku veiktajām darbībām un viņu izmantotajiem kontiem. Ja nevarat nosaukt trīs galvenās darbības, neesat gatavs slēgt publisko ieeju, jo pieņemšanas laikā neatpazīsiet sabojāto.

Pēc tam izlemiet, kas ir privātā auditorija. Darbinieki uzņēmuma VPN ir sākums, nevis atbilde. Darbuzņēmējiem, atbalsta personālam un finanšu komandai var būt vajadzīga lietotne, un viņi var nesēdēt visi aiz viena un tā paša vārtejas.

Solis 2: atdaliet tuneli no pieteikšanās

Kad lietotājs sasniedz lietotni caur VPN, pārlūkprogramma joprojām atver TLS savienojumu ar pašas lietotnes galapunktu. Sertifikātam jāatbilst šim nosaukumam, un lietotne joprojām autentificē kontu. Nekas tunelī neaizstāj nevienu no tiem.

Šeit migrācijas klusi nogāžas greizi. Kāds nolemj, ka privātajai adresei vairs nav vajadzīgs derīgs sertifikāts, lietotāji iemācās noklikšķināt cauri brīdinājumam, un organizācija ir samainījusi publisku pakļautību pret apmācību drošības brīdinājumu ignorēšanā. Ja lietotnei patiešām vajag iekšēju sertifikātu, izsniedziet to no iekšējās iestādes un pareizi izplatiet uzticēšanos. Tā ir kontrolēta izmaiņa; brīdinājuma lapa nav.

Saglabājiet autorizāciju tur, kur tā jau ir. NIST nulles uzticēšanās arhitektūras kopsavilkums saka tieši: tīkla atrašanās vieta nav iemesls piešķirt sensitīvu darbību. Atrašanās tuneļa iekšpusē nedrīkstētu pārvērst tikai lasīšanas kontu par administratoru.

Solis 3: atrodiet izsaucējus, kas nav darbinieki

Atveriet lietotnes konfigurāciju un uzskaitiet visu, kas ar to runā: identitātes nodrošinātāja atzvanīšanas URL, maksājumu nodrošinātāja tīmekļa āķis, ieplānots imports, uzraudzības zonde, partnera API klients. Katrs ir atkarība ar īpašnieku, un katrs salūzīs citā mirklī.

Izlemiet atbalstītu ceļu katram, kam jāpaliek. Tīmekļa āķa nodrošinātājs nevar pievienoties jūsu darbinieku VPN, tāpēc vai nu atklājiet šauri ierobežotu integrācijas galapunktu ar savu autentifikāciju, vai mainiet integrācijas modeli. Atstāt visu lietotni publisku viena atzvanījuma dēļ ir izvēle, un parasti nepareizā.

Pierakstiet katru izņēmumu ar galamērķi, atļauto darbību, autentifikāciju un īpašnieku. Vispārīgs VPN konts, kas dots integrācijai, ir veids, kā izņēmums kļūst pastāvīgs. Pārskatiet sarakstu nākamajā piekļuves pārskatā, jo integrācijas dzīvo ilgāk par projektiem, kas tās pievienoja. Izņēmums bez derīguma termiņa ir pastāvīgs dizaina lēmums, ko neviens nav pieņēmis.

Solis 4: izbeidziet publisko maršrutu, ne tikai DNS ierakstu

Izejiet caur publicēšanas ķēdi: DNS, slodzes balansētāja klausītāji, reversā starpniekservera noteikumi, resursdatora ugunsmūris un jebkurš alternatīvs nosaukums, kas joprojām norāda uz veco adresi. Pārbaudiet abas adrešu saimes. Galvenā A ieraksta maiņa gandrīz neko nepierāda, ja vecāks CNAME vai IPv6 klausītājs joprojām apkalpo lietotni.

Paralēli pārliecinieties, ka privātais nosaukums tiek atrisināts tuneļa iekšpusē un ka sertifikāts aptver nosaukumu, ko lietotāji ierakstīs. Lietotājs, kuram jāielīmē skaitliska adrese, ir atradis simptomu, nevis risinājumu.

Ierobežojiet VPN auditoriju lietotnes ceļā. Plaša piekļuve biroja tīklam samaina vienu pakļautības lēmumu pret lielāku, un administratīvajām saskarnēm vajag savus atļautos avotus, nevis lietotāja noteikuma pārmantošanu.

Solis 5: pats izejiet cauri pieņemšanai

Piesakieties kā apstiprināts lietotājs, atveriet grāmatzīmi, pārbaudiet sertifikātu, piesakieties un veiciet vienu reālu darbību. Pēc tam izmēģiniet kontu, kuram šī darbība nav jābūt, un apstipriniet, ka tam tiek atteikts. Pēc tam izmēģiniet no ierīces ārpus VPN un apstipriniet, ka lietotne nav sasniedzama.

Atkārtojiet katrai saglabātajai integrācijai un lasiet nodrošinātāja piegādes žurnālu, nevis pieņemiet, ka 200 no jūsu paša testa rīka ir tas pats. Veiksmīga VPN pieteikšanās nav pierādījums nevienam no šiem rezultātiem.

Solis 6: atkārtojiet slikto dienu

Izlemiet, kas notiek tuneļa pārtraukuma laikā: darbs apstājas vai pārņem cita apstiprināta piekļuves metode. Ko vien izvēlaties, pierakstiet un vienreiz pārbaudiet, jo ārkārtas publiska atvēršana kā nedokumentēts atjaunošanas mehānisms galu galā tiks veikta kādam spiediena apstākļos.

Saglabājiet atjaunošanas piekļuvi administratoriem, kas uztur vārteju un lietotni, ar īpašnieku un noņemšanas datumu. Reģistrējiet izmaiņas un to atritināšanas nosacījumus tajā pašā vietā, lai neveiksmīga migrācija neizslēgtu cilvēkus, kas to labotu.

Pēc pārejas ielāpu uzstādīšana, kontu dzīves cikls, lietotnes autorizācija un audits joprojām ir jūsu. Tunelis sašaurināja ieeju; tas nepārņēma nevienu no šiem uzdevumiem.