कंपनीचे वेब ॲप VPN च्या मागे नेणे: कटओव्हर मार्गदर्शक

वापरकर्त्याच्या बाजूने बदलाची कल्पना करा। कोणीतरी बुकमार्कवर क्लिक करतो, परिचित लॉगिन पृष्ठाची अपेक्षा करतो, आणि त्याऐवजी कनेक्शन त्रुटी मिळते, कारण होस्टनाव आता फक्त टनेलच्या आत उत्तर देते। त्या एका क्षणात स्थलांतर आराखड्याने बरोबर करायचे सर्व काही आहे: नाव, मार्ग, प्रमाणपत्र, खाते आणि त्यामागील क्रिया। खालील पायऱ्या त्याच क्रमाने पूर्ण करा आणि कटओव्हर उडी राहणे थांबेल।

पायरी 1: वापरकर्ते आज काय करतात ते लिहा

पत्ता पट्टीतील होस्टनाव, पोर्ट, लोक करत असलेल्या क्रिया आणि ते वापरत असलेल्या खात्यांपासून सुरुवात करा। तुम्ही मुख्य तीन क्रियांची नावे देऊ शकत नसाल, तर सार्वजनिक प्रवेश बंद करण्यास तुम्ही तयार नाही, कारण स्वीकृतीच्या वेळी तुटलेली क्रिया तुम्ही ओळखू शकणार नाही।

नंतर खाजगी प्रेक्षक कोण आहेत ते ठरवा। कॉर्पोरेट VPN वरील कर्मचारी ही सुरुवात आहे, उत्तर नाही। कंत्राटदार, सहाय्य कर्मचारी आणि अर्थसंकल्पीय संघ या सर्वांना ॲप्लिकेशनची गरज असू शकते आणि सर्व एकाच गेटवेमागे नसू शकतात।

पायरी 2: टनेल आणि लॉगिन वेगळे करा

वापरकर्ता VPN द्वारे ॲप्लिकेशनपर्यंत पोहोचतो तेव्हा ब्राउझर अजूनही ॲप्लिकेशनच्या स्वतःच्या एंडपॉइंटशी TLS कनेक्शन उघडतो। प्रमाणपत्र त्या नावाशी जुळले पाहिजे, आणि ॲप्लिकेशन अजूनही खाते प्रमाणित करते। टनेलमधील काहीही यापैकी एकाची जागा घेत नाही।

इथेच स्थलांतरे शांतपणे चुकतात। कोणीतरी ठरवते की खाजगी पत्त्याला आता वैध प्रमाणपत्राची गरज नाही, वापरकर्ते इशाऱ्यातून पुढे जायला शिकतात, आणि संस्थेने सार्वजनिक उघडकीला सुरक्षा इशारे दुर्लक्षित करण्याच्या प्रशिक्षण कार्यक्रमाशी बदलले आहे। ॲप्लिकेशनला खरोखर अंतर्गत प्रमाणपत्राची गरज असल्यास, अंतर्गत प्राधिकरणाकडून एक जारी करा आणि विश्वास योग्यरित्या वितरित करा। हा नियंत्रित बदल आहे; इशारा पृष्ठ नाही।

अधिकृती जिथे आधीच आहे तिथेच ठेवा। NISTचा शून्य-विश्वास स्थापत्य सारांश मुद्दा सरळ सांगतो: नेटवर्क स्थान संवेदनशील क्रिया देण्याचे कारण नाही। टनेलच्या आत असणे केवळ-वाचन खाते प्रशासकात बदलू नये।

पायरी 3: कर्मचारी नसलेले कॉलर शोधा

ॲप्लिकेशनचे कॉन्फिगरेशन उघडा आणि त्याच्याशी बोलणारे सर्व सूचीबद्ध करा: ओळख प्रदात्याचा कॉलबॅक URL, पेमेंट प्रदात्याचा वेबहूक, नियोजित आयात, देखरेख प्रोब, भागीदाराचा API क्लायंट। प्रत्येक मालक असलेले अवलंबन आहे, आणि प्रत्येक वेगळ्या क्षणी तुटेल।

राहिले पाहिजे अशा प्रत्येकासाठी समर्थित मार्ग ठरवा। वेबहूक प्रदाता तुमच्या कर्मचारी VPN मध्ये सामील होऊ शकत नाही, म्हणून एकतर स्वतःच्या प्रमाणीकरणासह अरुंद मर्यादित एकत्रीकरण एंडपॉइंट उघडा, किंवा एकत्रीकरणाचा नमुना बदला। एक कॉलबॅक आहे म्हणून संपूर्ण ॲप्लिकेशन सार्वजनिक ठेवणे ही निवड आहे, आणि सहसा चुकीची निवड।

प्रत्येक अपवाद गंतव्य, अनुमत क्रिया, प्रमाणीकरण आणि मालकासह लिहा। एकत्रीकरणाला दिलेले सामान्य VPN खाते हे अपवाद कायमचा होण्याचा मार्ग आहे। पुढील प्रवेश पुनरावलोकनात यादी पाहा, कारण एकत्रीकरणे त्यांना जोडणाऱ्या प्रकल्पांपेक्षा जास्त काळ टिकतात। समाप्ती तारखेशिवाय अपवाद हा कोणीही न घेतलेला कायमचा रचना निर्णय आहे।

पायरी 4: फक्त DNS रेकॉर्ड नाही, सार्वजनिक मार्ग निवृत्त करा

प्रकाशन साखळीतून जा: DNS, लोड बॅलन्सर श्रोते, उलट प्रॉक्सी नियम, होस्ट फायरवॉल आणि जुन्या पत्त्याकडे अजूनही निर्देश करणारे कोणतेही पर्यायी नाव। दोन्ही पत्ता कुटुंबे तपासा। जुने CNAME किंवा IPv6 श्रोता अजूनही ॲपला सेवा देत असल्यास मुख्य A रेकॉर्ड बदलणे जवळपास काहीही सिद्ध करत नाही।

समांतरपणे, खाजगी नाव टनेलच्या आत सोडवले जाते आणि प्रमाणपत्र वापरकर्ते टाइप करतील ते नाव व्यापते याची खात्री करा। ज्याला अंकीय पत्ता पेस्ट करावा लागतो त्या वापरकर्त्याने लक्षण शोधले आहे, उपाय नाही।

VPN प्रेक्षक ॲप्लिकेशनच्या मार्गापर्यंत मर्यादित करा। कार्यालयाच्या नेटवर्कमध्ये रुंद प्रवेश एक उघडकीचा निर्णय मोठ्या निर्णयाशी बदलतो, आणि प्रशासकीय इंटरफेसना वापरकर्ता नियम वारसा मिळण्याऐवजी स्वतःचे अनुमत स्रोत लागतात।

पायरी 5: स्वीकृती स्वतः करा

मंजूर वापरकर्ता म्हणून जोडा, बुकमार्क उघडा, प्रमाणपत्र तपासा, लॉगिन करा आणि एक वास्तविक क्रिया करा। नंतर ती क्रिया नसावी अशा खात्यासह प्रयत्न करा आणि ते नाकारले जाते याची खात्री करा। नंतर VPN बाहेरील उपकरणावरून प्रयत्न करा आणि ॲप्लिकेशन पोहोचण्यायोग्य नाही याची खात्री करा।

प्रत्येक राखून ठेवलेल्या एकत्रीकरणासाठी पुन्हा करा, आणि तुमच्या स्वतःच्या चाचणी साधनाचा 200 हाच अर्थ आहे असे गृहीत धरण्याऐवजी प्रदात्याचा वितरण लॉग वाचा। यशस्वी VPN लॉगिन यापैकी कोणत्याही निकालाचा पुरावा नाही।

पायरी 6: वाईट दिवसाची तालीम करा

टनेल बंद पडल्यावर काय होते ते ठरवा: काम थांबते, किंवा दुसरी मंजूर प्रवेश पद्धत जबाबदारी घेते। तुम्ही काहीही निवडा, ते लिहून ठेवा आणि एकदा तपासा, कारण अप्रलेखित पुनर्प्राप्ती यंत्रणा म्हणून आपत्कालीन सार्वजनिक पुन्हा उघडणे शेवटी दबावाखालील कोणीतरी करणारच।

गेटवे आणि ॲप्लिकेशन सांभाळणाऱ्या प्रशासकांसाठी मालक आणि काढण्याची तारीख यासह पुनर्प्राप्ती प्रवेश ठेवा। बदल आणि त्याच्या उलटण्याच्या अटी एकाच ठिकाणी नोंदवा, जेणेकरून अयशस्वी स्थलांतर ते दुरुस्त करणाऱ्यांना बाहेर ठेवणार नाही।

कटओव्हरनंतरही पॅचिंग, खाते जीवनचक्र, ॲप्लिकेशन अधिकृती आणि लेखापरीक्षण तुमचेच आहे। टनेलने प्रवेश अरुंद केला; त्याने यापैकी एकही काम घेतले नाही।