Преместување на корпоративна веб-апликација зад VPN: водич за преминот

Замислете ја промената од страната на корисникот. Некој кликнува на обележувач, очекува познатата страница за најава и наместо тоа добива грешка во врската, бидејќи името на домаќинот сега одговара само внатре во тунелот. Тој единствен момент го содржи сѐ што планот за миграција треба да го направи правилно: името, патеката, сертификатот, сметката и операцијата зад нив. Поминете ги чекорите подолу по тој редослед и преминот престанува да биде скок.

Чекор 1: запишете што прават корисниците денес

Започнете со името на домаќинот во адресната лента, портата, операциите што ги извршуваат луѓето и сметките што ги користат. Ако не можете да ги наведете трите главни операции, не сте подготвени да го затворите јавниот влез, бидејќи за време на прифаќањето нема да препознаете расипана.

Потоа одлучете кој е приватната публика. Вработените на корпоративниот VPN се почеток, а не одговор. Изведувачите, персоналот за поддршка и финансискиот тим можеби сите имаат потреба од апликацијата и можеби не сите седат зад истата порта.

Чекор 2: одвојте го тунелот од најавата

Кога корисникот стигнува до апликацијата преку VPN, прелистувачот сѐ уште отвора TLS врска до сопствената крајна точка на апликацијата. Сертификатот мора да одговара на тоа име, а апликацијата сѐ уште ја автентицира сметката. Ништо во тунелот не заменува ниту едно од двете.

Тука миграциите тивко тргнуваат наопаку. Некој одлучува дека приватната адреса веќе не бара валиден сертификат, корисниците учат да кликнат низ предупредување, а организацијата разменила јавна изложеност за обука во игнорирање безбедносни предупредувања. Ако на апликацијата навистина ѝ треба внатрешен сертификат, издајте еден од внатрешниот орган и правилно распределете го довербата. Тоа е контролирана промена; страницата со предупредување не е.

Задржете ја авторизацијата таму каде што веќе живее. Резимето на архитектурата со нулта доверба на NIST го кажува тоа директно: мрежната локација не е причина да се даде чувствителна операција. Да се биде во тунелот не треба да претвори сметка само за читање во администратор.

Чекор 3: најдете ги повикувачите што не се вработени

Отворете ја конфигурацијата на апликацијата и наведете сѐ што разговара со неа: URL-то за повратен повик на провајдерот на идентитет, веб-куката на провајдер за плаќања, закажан увоз, сонда за мониторинг, API клиент на партнер. Секој е зависност со сопственик и секој ќе се скрши во различен момент.

Одлучете поддржана патека за секој што мора да остане. Провајдер на веб-кука не може да се приклучи на вашиот VPN за вработени, па или изложете тесно ограничена интеграциска крајна точка со сопствена автентикација, или сменете го моделот на интеграција. Да се остави целата апликација јавна поради еден повратен повик е избор, и обично погрешниот.

Запишете го секој исклучок со дестинација, дозволена операција, автентикација и сопственик. Општа VPN сметка дадена на интеграција е начинот на кој исклучокот станува постојан. Прегледајте ја листата на следниот преглед на пристап, бидејќи интеграциите живеат подолго од проектите што ги додале. Исклучок без датум на истекување е постојана дизајнерска одлука што никој не ја донел.

Чекор 4: повлечете ја јавната рута, не само DNS записот

Поминете ја синџирот за објавување: DNS, слушатели на балансерот за оптоварување, правила на обратниот прокси, огнениот ѕид на домаќинот и секое алтернативно име што сѐ уште покажува на старата адреса. Проверете ги двете семејства на адреси. Менувањето на главниот A запис докажува речиси ништо ако постар CNAME или IPv6 слушател сѐ уште ја служи апликацијата.

Паралелно потврдете дека приватното име се решава внатре во тунелот и дека сертификатот го покрива името што корисниците ќе го внесат. Корисникот што мора да залепи нумеричка адреса нашол симптом, а не решение.

Ограничете ја публиката на VPN на патеката на апликацијата. Широк пристап до канцелариската мрежа разменува една одлука за изложеност за поголема, а административните интерфејси бараат свои дозволени извори наместо да го наследат правилото за корисници.

Чекор 5: поминете го прифаќањето сами

Поврзете се како одобрен корисник, отворете го обележувачот, проверете го сертификатот, најавете се и извршете една вистинска операција. Потоа пробајте сметка што не треба да ја има таа операција и потврдете дека ѝ се одбива. Потоа пробајте од уред надвор од VPN и потврдете дека апликацијата е недостапна.

Повторете за секоја задржана интеграција и прочитајте го дневникот за испорака на провајдерот наместо да претпоставите дека 200 од вашата сопствена алатка за тестирање е истото. Успешна најава на VPN не е доказ за ниту еден од овие резултати.

Чекор 6: вежбајте го лошиот ден

Одлучете што се случува при прекин на тунелот: работата запира или презема друг одобрен метод за пристап. Што и да изберете, запишете го и тестирајте го еднаш, бидејќи итно јавно отворање како недокументиран механизам за враќање на крајот ќе го изврши некој под притисок.

Задржете пристап за враќање за администраторите што ја одржуваат портата и апликацијата, со сопственик и датум на отстранување. Запишете ја промената и нејзините услови за враќање на истото место, за да не ги заклучи неуспешната миграција луѓето што би ја поправиле.

По преминот, закрпите, животниот циклус на сметки, авторизацијата на апликацијата и ревизијата сѐ уште се ваши. Тунелот го стесни влезот; тој не презеде ниту една од тие задачи.