Prestavitev poslovne spletne aplikacije za VPN: vodnik po prehodu

Zamislite si spremembo z uporabnikove strani. Nekdo klikne zaznamek, pričakuje znano prijavno stran in namesto tega dobi napako povezave, ker ime gostitelja zdaj odgovarja le znotraj tunela. Ta en sam trenutek vsebuje vse, kar mora načrt selitve narediti pravilno: ime, pot, potrdilo, račun in operacijo za njimi. Pojdite skozi spodnje korake v tem vrstnem redu in prehod ne bo več skok.

Korak 1: zapišite, kaj uporabniki danes počnejo

Začnite z imenom gostitelja v naslovni vrstici, vrati, operacijami, ki jih izvajajo ljudje, in računi, ki jih uporabljajo. Če ne morete poimenovati treh glavnih operacij, niste pripravljeni zapreti javnega vhoda, ker med prevzemom ne boste prepoznali pokvarjene.

Nato se odločite, kdo je zasebno občinstvo. Zaposleni v podjetniškem VPN so začetek, ne odgovor. Izvajalci, podporno osebje in finančna ekipa lahko vsi potrebujejo aplikacijo in morda ne sedijo vsi za istimi vrati.

Korak 2: ločite tunel od prijave

Ko uporabnik doseže aplikacijo prek VPN, brskalnik še vedno odpre povezavo TLS do lastne končne točke aplikacije. Potrdilo se mora ujemati s tem imenom, aplikacija pa še vedno preverja račun. Nič v tunelu ne nadomesti niti enega niti drugega.

Tu se selitve tiho zalomijo. Nekdo odloči, da zasebni naslov ne potrebuje več veljavnega potrdila, uporabniki se naučijo klikati skozi opozorilo, organizacija pa je javno izpostavljenost zamenjala za usposabljanje v ignoriranju varnostnih opozoril. Če aplikacija res potrebuje notranje potrdilo, ga izdajte pri notranjem organu in pravilno razširite zaupanje. To je nadzorovana sprememba; opozorilna stran ni.

Pustite avtorizacijo tam, kjer že je. Povzetek arhitekture ničelnega zaupanja NIST to pove neposredno: omrežna lokacija ni razlog za dodelitev občutljive operacije. Bivanje v tunelu ne bi smelo spremeniti računa samo za branje v skrbnika.

Korak 3: poiščite klicatelje, ki niso zaposleni

Odprite konfiguracijo aplikacije in naštejte vse, kar komunicira z njo: URL povratnega klica ponudnika identitete, spletni kavelj ponudnika plačil, načrtovani uvoz, nadzorna sonda, odjemalec API partnerja. Vsak je odvisnost z lastnikom in vsak se bo zlomil v drugem trenutku.

Določite podprto pot za vsakega, ki mora ostati. Ponudnik spletnega kavlja se ne more pridružiti vašemu VPN za zaposlene, zato bodisi izpostavite ozko omejeno integracijsko končno točko z lastnim preverjanjem pristnosti bodisi spremenite model integracije. Pustiti celotno aplikacijo javno, ker obstaja en povratni klic, je izbira in običajno napačna.

Zapišite vsako izjemo s ciljem, dovoljeno operacijo, preverjanjem pristnosti in lastnikom. Splošen račun VPN, predan integraciji, je način, kako izjema postane trajna. Preglejte seznam ob naslednjem pregledu dostopa, ker integracije živijo dlje kot projekti, ki so jih dodali. Izjema brez datuma poteka je trajna oblikovalska odločitev, ki je nihče ni sprejel.

Korak 4: umaknite javno pot, ne le zapisa DNS

Pojdite skozi objavno verigo: DNS, poslušalci razporejevalnika obremenitve, pravila obratnega posrednika, požarni zid gostitelja in vsako nadomestno ime, ki še kaže na stari naslov. Preverite obe družini naslovov. Sprememba glavnega zapisa A skoraj ničesar ne dokaže, če starejši CNAME ali poslušalec IPv6 še vedno streže aplikaciji.

Vzporedno potrdite, da se zasebno ime razreši znotraj tunela in da potrdilo pokriva ime, ki ga bodo uporabniki vtipkali. Uporabnik, ki mora prilepiti številčni naslov, je našel simptom, ne rešitve.

Omejite občinstvo VPN na pot aplikacije. Širok dostop do pisarniškega omrežja zamenja eno odločitev o izpostavljenosti za večjo, administrativni vmesniki pa potrebujejo lastne dovoljene vire namesto podedovanja uporabniškega pravila.

Korak 5: sami pojdite skozi prevzem

Povežite se kot odobren uporabnik, odprite zaznamek, preverite potrdilo, prijavite se in izvedite eno resnično operacijo. Nato poskusite z računom, ki te operacije ne bi smel imeti, in potrdite, da je zavrnjen. Nato poskusite z naprave zunaj VPN in potrdite, da aplikacija ni dosegljiva.

Ponovite za vsako ohranjeno integracijo in preberite dnevnik dostave ponudnika, namesto da bi predpostavili, da je 200 iz vašega lastnega preskusnega orodja ista stvar. Uspešna prijava v VPN ni dokaz za nobenega od teh rezultatov.

Korak 6: vadite slab dan

Odločite, kaj se zgodi ob izpadu tunela: delo se ustavi ali prevzame druga odobrena metoda dostopa. Karkoli izberete, zapišite in enkrat preizkusite, ker bo nujno javno ponovno odpiranje kot nedokumentiran mehanizem obnovitve na koncu izvedel nekdo pod pritiskom.

Ohranite dostop za obnovitev skrbnikom, ki vzdržujejo prehod in aplikacijo, z lastnikom in datumom odstranitve. Zabeležite spremembo in pogoje za njeno razveljavitev na istem mestu, da neuspešna selitev ne zaklene ljudi, ki bi jo popravili.

Po prehodu so popravki, življenjski cikel računov, avtorizacija aplikacije in revizija še vedno vaši. Tunel je zožil vhod; ni prevzel nobene od teh nalog.