Компанийн вэб аппыг VPN-ийн ард зөөх: шилжилтийн гарын авлага

Өөрчлөлтийг хэрэглэгчийн талаас төсөөлж үзээрэй. Хэн нэгэн хавчуур дарж, танил нэвтрэх хуудсыг хүлээж байтал холболтын алдаа авдаг, учир нь хостны нэр одоо зөвхөн туннелийн дотор хариулдаг. Тэр ганц мөчид шилжилтийн төлөвлөгөө зөв хийх ёстой бүх зүйл агуулагдана: нэр, зам, гэрчилгээ, бүртгэл ба түүний ардах үйлдэл. Доорх алхмуудыг энэ дарааллаар гүйцэтгээрэй, тэгвэл шилжилт үсрэлт байхаа болино.

1-р алхам: хэрэглэгчид өнөөдөр юу хийдгийг бичээрэй

Хаягийн мөрөн дэх хостны нэр, порт, хүмүүсийн гүйцэтгэдэг үйлдэл, тэдний ашигладаг бүртгэлээс эхэл. Хэрэв гурван үндсэн үйлдлийг нэрлэж чадахгүй бол нийтийн орцыг хаахад бэлэн биш, учир нь хүлээн авалтын үеэр эвдэрснийг танихгүй.

Дараа нь хувийн үзэгчид хэн болохыг шийд. Корпорацийн VPN дээрх ажилчид бол эхлэл, хариулт биш. Гэрээт ажилчид, дэмжлэгийн ажилтан, санхүүгийн баг бүгдэд апп хэрэгтэй байж болох бөгөөд бүгд нэг гарцын ард суухгүй байж болно.

2-р алхам: туннелийг нэвтрэлтээс тусгаарла

Хэрэглэгч VPN-ээр дамжин апп-д хүрэхэд хөтөч аппын өөрийн төгсгөлийн цэг рүү TLS холболтыг нээсээр байна. Гэрчилгээ тухайн нэртэй тохирох ёстой бөгөөд апп бүртгэлийг баталгаажуулсаар байна. Туннельд юу ч эдгээрийн аль нэгийг орлохгүй.

Энд шилжилтүүд чимээгүй буруу болдог. Хэн нэгэн хувийн хаягт хүчинтэй гэрчилгээ хэрэггүй болсон гэж шийдэж, хэрэглэгчид анхааруулгыг дарахыг сурч, байгууллага нийтийн илрэлийг аюулгүй байдлын анхааруулгыг үл тоомсорлох сургалтын хөтөлбөрөөр сольсон байна. Хэрэв апп-д үнэхээр дотоод гэрчилгээ хэрэгтэй бол дотоод байгууллагаас олгож, итгэлийг зөв тараа. Энэ нь хяналттай өөрчлөлт; анхааруулгын хуудас тийм биш.

Зөвшөөрлийг аль хэдийн байгаа газарт нь үлдээ. NIST-ийн тэг итгэлцлийн архитектурын хураангуй асуудлыг шууд хэлнэ: сүлжээний байршил нь мэдрэмтгий үйлдэл олгох шалтгаан биш. Туннелийн дотор байх нь зөвхөн унших бүртгэлийг администратор болгох ёсгүй.

3-р алхам: ажилтан бус дуудагчдыг ол

Аппын тохиргоог нээж, түүнтэй ярилцдаг бүх зүйлийг жагсаа: таних тэмдгийн нийлүүлэгчийн буцаан дуудлагын URL, төлбөрийн нийлүүлэгчийн вэбхүк, төлөвлөсөн импорт, хяналтын проб, түншийн API клиент. Тус бүр эзэнтэй хамаарал бөгөөд тус бүр өөр мөчид эвдэрнэ.

Үлдэх ёстой тус бүрд дэмжигдсэн зам шийд. Вэбхүк нийлүүлэгч таны ажилтны VPN-д нэгдэж чадахгүй, тиймээс өөрийн баталгаажуулалттай нарийн хязгаарласан интеграцийн төгсгөлийн цэгийг ил гарга, эсвэл интеграцийн загварыг өөрчил. Нэг буцаан дуудлага байгаа учраас бүх аппыг нээлттэй үлдээх нь сонголт бөгөөд ихэвчлэн буруу сонголт.

Бүр үл хамаарах зүйлийг очих газар, зөвшөөрөгдсөн үйлдэл, баталгаажуулалт, эзэнтэйгээр бич. Интеграцид олгосон ерөнхий VPN бүртгэл нь үл хамаарах зүйлийг байнгын болгох зам. Дараагийн хандалтын хяналтад жагсаалтыг хяна, учир нь интеграциуд тэдгээрийг нэмсэн төслүүдээс урт насалдаг. Хугацаа дуусах огноогүй үл хамаарах зүйл бол хэн ч аваагүй байнгын дизайны шийдвэр.

4-р алхам: зөвхөн DNS бичлэг биш, нийтийн маршрутыг ч зогсоо

Нийтлэлийн гинжин хэлхээгээр яв: DNS, ачааллын тэнцвэржүүлэгчийн сонсогчид, урвуу проксийн дүрэм, хостны галт хана, хуучин хаяг руу чиглэсээр байгаа аливаа өөр нэр. Хоёр хаягийн гэр бүлийг шалга. Хэрэв хуучин CNAME эсвэл IPv6 сонсогч апп-д үйлчилсээр байвал үндсэн A бичлэгийг өөрчлөх нь бараг юу ч батлахгүй.

Зэрэгцээд хувийн нэр туннелийн дотор шийдэгдэж, гэрчилгээ хэрэглэгчдийн бичих нэрийг хамарч байгааг батал. Тоон хаяг наахаас өөр аргагүй хэрэглэгч шинж тэмдэг олсон, шийдэл биш.

VPN үзэгчдийг аппын замд хязгаарла. Оффисын сүлжээнд өргөн хандалт нь нэг илрэлийн шийдвэрийг илүү том шийдвэрээр солино, административ интерфейсүүд хэрэглэгчийн дүрмийг өвлөхийн оронд өөрсдийн зөвшөөрөгдсөн эх сурвалж хэрэгтэй.

5-р алхам: хүлээн авалтыг өөрөө хий

Зөвшөөрөгдсөн хэрэглэгчээр холбогдож, хавчуурыг нээж, гэрчилгээг шалгаж, нэвтэрч, нэг бодит үйлдэл гүйцэтгэ. Дараа нь тухайн үйлдэл байх ёсгүй бүртгэлээр оролдож, татгалзсан эсэхийг батал. Дараа нь VPN-ээс гадуурх төхөөрөмжөөс оролдож, апп-д хүрэх боломжгүйг батал.

Хадгалсан интеграци бүрд давтаж, өөрийн туршилтын хэрэгслийн 200 нь ижил зүйл гэж таамаглахын оронд нийлүүлэгчийн хүргэлтийн логыг унш. Амжилттай VPN нэвтрэлт нь эдгээр үр дүнгийн аль нэгэнд нотолгоо биш.

6-р алхам: муу өдрийг давт

Туннель тасалдах үед юу болохыг шийд: ажил зогсох эсвэл өөр зөвшөөрөгдсөн хандалтын арга ажлыг авах. Юу ч сонгосон, бичээд нэг удаа турш, учир нь баримтжуулаагүй сэргээх механизм болгон онцгой байдлын нийтийн дахин нээлтийг эцэст нь дарамт дор байгаа хэн нэгэн гүйцэтгэнэ.

Гарц ба аппыг арчилдаг администраторуудад эзэн, устгах огноотой хамт сэргээх хандалтыг үлдээ. Өөрчлөлт ба түүнийг буцаах нөхцлийг нэг дор бүртгэ, ингэснээр бүтэлгүй шилжилт засах хүмүүсийг түгжихгүй.

Шилжилтийн дараа нөхөөс, бүртгэлийн амьдралын мөчлөг, аппын зөвшөөрөл, аудит таны хэвээр байна. Туннель орцыг нарийсгасан; эдгээр ажлын аль нэгийг ч аваагүй.