Nimxu applikazzjoni web tal-kumpanija wara l-VPN: gwida għat-tranżizzjoni

Immaġina l-bidla min-naħa tal-utent. Xi ħadd jikklikkja bookmark, jistenna l-paġna tal-login solita, u minflok jirċievi żball tal-konnessjoni għax l-isem tal-host issa jwieġeb biss ġewwa t-tunnel. Dak il-mument wieħed fih kollox li l-pjan tal-migrazzjoni għandu jagħmel sew: l-isem, il-passaġġ, iċ-ċertifikat, il-kont u l-operazzjoni warajhom. Mexxi l-passi hawn taħt f'dik l-ordni u t-tranżizzjoni tieqaf tkun qabża.

Pass 1: ikteb x'jagħmlu l-utenti llum

Ibda bl-isem tal-host fil-bar tal-indirizz, il-port, l-operazzjonijiet li jagħmlu n-nies u l-kontijiet li jużaw. Jekk ma tistax issemmi t-tliet operazzjonijiet ewlenin, m'intix lest li tagħlaq id-daħla pubblika, għax ma tagħrafx waħda miksura waqt l-aċċettazzjoni.

Imbagħad iddeċiedi min hu l-udjenza privata. L-impjegati fuq il-VPN korporattiv huma bidu, mhux tweġiba. Il-kuntratturi, il-persunal ta' appoġġ u t-tim finanzjarju jistgħu kollha jkunu jeħtieġu l-applikazzjoni u jistgħu mhux kollha jkunu wara l-istess gateway.

Pass 2: issepara t-tunnel mill-login

Meta l-utent jasal għall-applikazzjoni permezz tal-VPN, il-browser xorta jiftaħ konnessjoni TLS mal-endpoint tal-applikazzjoni stess. Iċ-ċertifikat irid jaqbel ma' dak l-isem, u l-applikazzjoni xorta tawtentika l-kont. Xejn fit-tunnel ma jissostitwixxi wieħed minnhom.

Hawnhekk il-migrazzjonijiet imorru ħażin bil-kwiet. Xi ħadd jiddeċiedi li l-indirizz privat m'għadux jeħtieġ ċertifikat validu, l-utenti jitgħallmu jikklikkjaw minn twissija, u l-organizzazzjoni tkun skambjat espożizzjoni pubblika ma' programm ta' taħriġ fl-injorar ta' twissijiet tas-sigurtà. Jekk l-applikazzjoni tassew teħtieġ ċertifikat intern, ħruġ wieħed mill-awtorità interna u qassam il-fiduċja kif suppost. Dik hija bidla kkontrollata; paġna ta' twissija mhijiex.

Żomm l-awtorizzazzjoni fejn diġà tinsab. Is-sommarju tal-arkitettura ta' fiduċja żero tan-NIST jgħid il-punt direttament: il-post fin-netwerk mhuwiex raġuni biex tingħata operazzjoni sensittiva. Li tkun fit-tunnel m'għandux ibiddel kont ta' qari biss f'amministratur.

Pass 3: sib is-sejjieħa li mhumiex impjegati

Iftaħ il-konfigurazzjoni tal-applikazzjoni u elenka kollox li jitkellem magħha: l-URL tal-callback tal-fornitur tal-identità, il-webhook ta' fornitur tal-ħlasijiet, import skedat, probe ta' monitoraġġ, il-klijent API ta' sieħeb. Kull wieħed hija dipendenza b'sid, u kull wieħed jinkiser f'mument differenti.

Iddeċiedi passaġġ appoġġjat għal kull wieħed li jrid jibqa'. Fornitur tal-webhook ma jistax jingħaqad mal-VPN tal-impjegati tiegħek, allura jew tesponi endpoint ta' integrazzjoni b'firxa dejqa bl-awtentikazzjoni tiegħu stess, jew tbiddel il-mudell ta' integrazzjoni. Li tħalli l-applikazzjoni kollha pubblika għax hemm callback wieħed hija għażla, u normalment dik ħażina.

Ikteb kull eċċezzjoni bid-destinazzjoni, l-operazzjoni permessa, l-awtentikazzjoni u sid. Kont VPN ġeneriku mogħti lill-integrazzjoni huwa kif eċċezzjoni ssir permanenti. Irrevedi l-lista fir-reviżjoni tal-aċċess li jmiss, għax l-integrazzjonijiet jgħixu itwal mill-proġetti li żieduhom. Eċċezzjoni mingħajr data ta' skadenza hija deċiżjoni tad-disinn permanenti li ħadd ma ħa.

Pass 4: irtira r-rotta pubblika, mhux biss ir-rekord DNS

Għaddi mill-katina tal-pubblikazzjoni: DNS, listeners tal-load balancer, regoli tal-proxy invers, firewall tal-host u kull isem alternattiv li għadu jindika lejn l-indirizz antik. Iċċekkja ż-żewġ familji tal-indirizz. Li tbiddel ir-rekord A ewlieni kważi ma jipprova xejn jekk CNAME anzjan jew listener IPv6 għadu qed iservi l-app.

B'mod parallel, ikkonferma li l-isem privat jiġi riżolt fit-tunnel u li ċ-ċertifikat ikopri l-isem li l-utenti se jittajpjaw. Utent li jkollu jpejst indirizz numeriku sab sintomu, mhux soluzzjoni.

Illimita l-udjenza tal-VPN għall-passaġġ tal-applikazzjoni. Aċċess wiesa' għan-netwerk tal-uffiċċju jiskambja deċiżjoni ta' espożizzjoni waħda ma' waħda akbar, u l-interfaces amministrattivi jeħtieġu s-sorsi permessi tagħhom stess minflok jirtu r-regola tal-utent.

Pass 5: għaddi l-aċċettazzjoni int stess

Qabbad bħala utent approvat, iftaħ il-bookmark, iċċekkja ċ-ċertifikat, idħol u wettaq operazzjoni waħda reali. Imbagħad ipprova kont li m'għandux ikollu dik l-operazzjoni u kkonferma li jiġi rrifjutat. Imbagħad ipprova minn apparat barra l-VPN u kkonferma li l-applikazzjoni ma tintlaħaqx.

Irrepeti għal kull integrazzjoni miżmuma, u aqra l-log tal-kunsinna tal-fornitur minflok tassumi li 200 mill-għodda tat-test tiegħek hija l-istess ħaġa. Login VPN b'suċċess mhuwiex prova għal xi wieħed minn dawn ir-riżultati.

Pass 6: ipprattika l-ġurnata ħażina

Iddeċiedi x'jiġri waqt waqfa tat-tunnel: ix-xogħol jieqaf, jew metodu ieħor ta' aċċess approvat jieħu f'idejh. Tkun xi tkun l-għażla, iktebha u ippruvaha darba, għax ftuħ pubbliku ta' emerġenza bħala mekkaniżmu ta' rkupru mhux dokumentat fl-aħħar se jitwettaq minn xi ħadd taħt pressjoni.

Żomm aċċess ta' rkupru għall-amministraturi li jżommu l-gateway u l-applikazzjoni, b'sid u data tat-tneħħija. Irreġistra l-bidla u l-kundizzjonijiet tal-qlib tagħha fl-istess post, sabiex migrazzjoni falluta ma taqta' barra n-nies li jsewwuha.

Wara t-tranżizzjoni, l-applikazzjoni ta' patches, iċ-ċiklu tal-ħajja tal-kontijiet, l-awtorizzazzjoni tal-applikazzjoni u l-awditjar għadhom tiegħek. It-tunnel dejjaq id-daħla; ma ħa f'idejh xejn minn dawn ix-xogħlijiet.