Presun firemnej webovej aplikácie za VPN: sprievodca prechodom

Predstavte si zmenu z pohľadu používateľa. Niekto klikne na záložku, očakáva známu prihlasovaciu stránku a namiesto toho dostane chybu pripojenia, pretože názov hostiteľa teraz odpovedá len vnútri tunela. Ten jediný moment obsahuje všetko, čo musí plán migrácie urobiť správne: názov, cestu, certifikát, účet a operáciu za nimi. Prejdite nižšie uvedené kroky v tomto poradí a prechod prestane byť skokom.

Krok 1: zapíšte, čo dnes používatelia robia

Začnite názvom hostiteľa v adresnom riadku, portom, operáciami, ktoré ľudia vykonávajú, a účtami, ktoré používajú. Ak neviete pomenovať tri hlavné operácie, nie ste pripravení zavrieť verejný vstup, pretože počas prevzatia nespoznáte pokazenú.

Potom rozhodnite, kto je súkromné publikum. Zamestnanci na firemnej VPN sú začiatok, nie odpoveď. Dodávatelia, podporný tím a finančný tím môžu všetci potrebovať aplikáciu a nemusia všetci sedieť za tou istou bránou.

Krok 2: oddeľte tunel od prihlásenia

Keď sa používateľ dostane k aplikácii cez VPN, prehliadač stále otvára TLS spojenie k vlastnému koncovému bodu aplikácie. Certifikát musí zodpovedať tomuto názvu a aplikácia stále overuje účet. Nič v tuneli nenahrádza ani jedno z toho.

Práve tu sa migrácie ticho pokazia. Niekto rozhodne, že súkromná adresa už nepotrebuje platný certifikát, používatelia sa naučia prekliknúť varovaním a organizácia vymenila verejné vystavenie za školenie v ignorovaní bezpečnostných upozornení. Ak aplikácia naozaj potrebuje interný certifikát, vystavte ho u internej autority a správne rozšírte dôveru. To je kontrolovaná zmena; stránka s varovaním nie je.

Ponechajte autorizáciu tam, kde už žije. Zhrnutie architektúry nulovej dôvery NIST to hovorí priamo: sieťové umiestnenie nie je dôvod udeliť citlivú operáciu. Bytie vnútri tunela by nemalo zmeniť účet iba na čítanie na administrátora.

Krok 3: nájdite volajúcich, ktorí nie sú zamestnanci

Otvorte konfiguráciu aplikácie a vymenujte všetko, čo s ňou komunikuje: URL spätného volania poskytovateľa identity, webhook poskytovateľa platieb, naplánovaný import, monitorovaciu sondu, API klienta partnera. Každé je závislosť s vlastníkom a každé sa pokazí v inom momente.

Určte podporovanú cestu pre každé, ktoré musí zostať. Poskytovateľ webhooku sa nemôže pripojiť k vašej zamestnaneckej VPN, takže buď vystavte úzko obmedzený integračný koncový bod s vlastným overovaním, alebo zmeňte model integrácie. Nechať celú aplikáciu verejnú pre jedno spätné volanie je voľba, a zvyčajne nesprávna.

Zapíšte každú výnimku s cieľom, povolenou operáciou, overovaním a vlastníkom. Všeobecný VPN účet daný integrácii je spôsob, akým sa výnimka stane trvalou. Prejdite zoznam pri ďalšej revízii prístupu, pretože integrácie prežívajú projekty, ktoré ich pridali. Výnimka bez dátumu vypršania je trvalé dizajnové rozhodnutie, ktoré nikto neurobil.

Krok 4: vyraďte verejnú trasu, nielen záznam DNS

Prejdite publikačný reťazec: DNS, poslucháče load balancera, pravidlá reverzného proxy, hostiteľský firewall a každé alternatívne meno, ktoré stále ukazuje na starú adresu. Skontrolujte obe rodiny adries. Zmena hlavného záznamu A nedokazuje takmer nič, ak starší CNAME alebo poslucháč IPv6 aplikáciu stále obsluhuje.

Súbežne potvrďte, že súkromné meno sa vnútri tunela prekladá a že certifikát pokrýva meno, ktoré používatelia napíšu. Používateľ, ktorý musí vložiť číselnú adresu, našiel príznak, nie riešenie.

Obmedzte publikum VPN na cestu aplikácie. Široký prístup kancelárskej sieti vymení jedno rozhodnutie o vystavení za väčšie a administratívne rozhrania potrebujú vlastné povolené zdroje namiesto dedenia používateľského pravidla.

Krok 5: prejdite prevzatie sami

Pripojte sa ako schválený používateľ, otvorte záložku, skontrolujte certifikát, prihláste sa a vykonajte jednu skutočnú operáciu. Potom skúste účet, ktorý by tú operáciu nemal mať, a potvrďte, že je odmietnutý. Potom skúste zo zariadenia mimo VPN a potvrďte, že aplikácia je nedostupná.

Zopakujte pre každú zachovanú integráciu a prečítajte si doručovací protokol poskytovateľa, namiesto toho aby ste predpokladali, že 200 z vášho vlastného testovacieho nástroja je to isté. Úspešné prihlásenie do VPN nie je dôkazom ani jedného z týchto výsledkov.

Krok 6: nacvičte si zlý deň

Rozhodnite, čo sa stane pri výpadku tunela: práca sa zastaví alebo prevezme iná schválená metóda prístupu. Čokoľvek si vyberiete, zapíšte to a raz otestujte, pretože núdzové verejné znovuotvorenie ako nedokumentovaný mechanizmus obnovy nakoniec vykoná niekto pod tlakom.

Ponechajte prístup na obnovu administrátorom, ktorí udržiavajú bránu a aplikáciu, s vlastníkom a dátumom odstránenia. Zaznamenajte zmenu a podmienky jej vrátenia na to isté miesto, aby neúspešná migrácia neuzamkla ľudí, ktorí by ju opravili.

Po prechode sú záplatovanie, životný cyklus účtov, autorizácia aplikácie a audit stále vaše. Tunel zúžil vstup; neprevzal žiadnu z týchto úloh.