Lëvizja e një aplikacioni web kompanie pas VPN-së: udhëzues për kalimin

Imagjinoni ndryshimin nga ana e përdoruesit. Dikush klikon një faqeshënues, pret faqen e njohur të hyrjes dhe në vend të saj merr një gabim lidhjeje, sepse emri i hostit tani përgjigjet vetëm brenda tunelit. Ai moment i vetëm përmban gjithçka që plani i migrimit duhet të bëjë saktë: emrin, shtegun, certifikatën, llogarinë dhe operacionin pas tyre. Kaloni nëpër hapat më poshtë në atë rend dhe kalimi nuk është më një kërcim.

Hapi 1: shkruani çfarë bëjnë përdoruesit sot

Filloni me emrin e hostit në shiritin e adresave, portin, operacionet që kryejnë njerëzit dhe llogaritë që përdorin. Nëse nuk mund të emërtoni tre operacionet kryesore, nuk jeni gati të mbyllni hyrjen publike, sepse nuk do të dalloni një të prishur gjatë pranimit.

Më pas vendosni kush është publiku privat. Punonjësit në VPN-në e korporatës janë një fillim, jo një përgjigje. Kontraktorët, stafi i mbështetjes dhe ekipi financiar mund të kenë të gjithë nevojë për aplikacionin dhe mund të mos jenë të gjithë pas të njëjtit portë.

Hapi 2: ndani tunelin nga hyrja

Kur përdoruesi arrin aplikacionin përmes VPN-së, shfletuesi ende hap një lidhje TLS me pikën fundore të vetë aplikacionit. Certifikata duhet të përputhet me atë emër, dhe aplikacioni ende vërteton llogarinë. Asgjë në tunel nuk zëvendëson asnjërën.

Këtu migrimet shkojnë keq në heshtje. Dikush vendos që adresa private nuk ka më nevojë për një certifikatë të vlefshme, përdoruesit mësojnë të klikojnë përmes një paralajmërimi, dhe organizata ka shkëmbyer një ekspozim publik me një program trajnimi për injorimin e paralajmërimeve të sigurisë. Nëse aplikacioni ka vërtet nevojë për një certifikatë të brendshme, lëshoni një nga autoriteti i brendshëm dhe shpërndani besimin si duhet. Ky është një ndryshim i kontrolluar; një faqe paralajmërimi nuk është.

Mbani autorizimin aty ku është tashmë. Përmbledhja e arkitekturës së besimit zero të NIST e thotë hapur: vendndodhja në rrjet nuk është arsye për të dhënë një operacion të ndjeshëm. Të jesh brenda tunelit nuk duhet ta kthejë një llogari vetëm-lexim në administrator.

Hapi 3: gjeni thirrësit që nuk janë punonjës

Hapni konfigurimin e aplikacionit dhe rendisni gjithçka që flet me të: URL-ja e kthimit të ofruesit të identitetit, webhook-u i një ofruesi pagesash, një import i planifikuar, një sondë monitorimi, klienti API i një partneri. Secili është një varësi me pronar, dhe secili do të prishet në një moment tjetër.

Vendosni një rrugë të mbështetur për secilin që duhet të mbetet. Një ofrues webhook-u nuk mund t'i bashkohet VPN-së tuaj të punonjësve, kështu që ose ekspozoni një pikë fundore integrimi me shtrirje të ngushtë me vërtetimin e vet, ose ndryshoni modelin e integrimit. Të lini të gjithë aplikacionin publik sepse ekziston një kthim telefonate është një zgjedhje, dhe zakonisht ajo e gabuara.

Shkruani çdo përjashtim me destinacion, operacion të lejuar, vërtetim dhe pronar. Një llogari VPN e përgjithshme që i jepet një integrimi është mënyra se si një përjashtim bëhet i përhershëm. Rishikoni listën në rishikimin e ardhshëm të aksesit, sepse integrimet jetojnë më gjatë se projektet që i shtuan. Një përjashtim pa datë skadimi është një vendim dizajni i përhershëm që askush nuk e mori.

Hapi 4: tërhiqni rrugën publike, jo vetëm regjistrimin DNS

Ecni nëpër zinxhirin e publikimit: DNS, dëgjuesit e balancuesit të ngarkesës, rregullat e proxy-t të kundërt, muri i zjarrit të hostit dhe çdo emër alternativ që ende tregon adresën e vjetër. Kontrolloni të dy familjet e adresave. Ndryshimi i regjistrimit kryesor A pothuajse asgjë nuk vërteton nëse një CNAME më i vjetër ose një dëgjues IPv6 ende i shërben aplikacionit.

Paralelisht, konfirmoni që emri privat zgjidhet brenda tunelit dhe që certifikata mbulon emrin që përdoruesit do të shkruajnë. Një përdorues që duhet të ngjisë një adresë numerike ka gjetur një simptom, jo një zgjidhje.

Kufizoni publikun e VPN-së në shtegun e aplikacionit. Aksesi i gjerë në rrjetin e zyrës ndërron një vendim ekspozimi me një më të madh, dhe ndërfaqet administrative kanë nevojë për burimet e tyre të lejuara në vend që të trashëgojnë rregullin e përdoruesit.

Hapi 5: kryeni vetë pranimin

Lidhuni si përdorues i miratuar, hapni faqeshënuesin, kontrolloni certifikatën, hyni dhe kryeni një operacion real. Më pas provoni një llogari që nuk duhet ta ketë atë operacion dhe konfirmoni se refuzohet. Më pas provoni nga një pajisje jashtë VPN-së dhe konfirmoni që aplikacioni është i paarritshëm.

Përsëriteni për çdo integrim të mbajtur, dhe lexoni regjistrin e dërgesave të ofruesit në vend që të supozoni se një 200 nga mjeti juaj i testimit është e njëjta gjë. Një hyrje e suksesshme në VPN nuk është provë për asnjë nga këto rezultate.

Hapi 6: provoni ditën e keqe

Vendosni çfarë ndodh gjatë një ndërprerjeje të tunelit: puna ndalon, ose një metodë tjetër e miratuar aksesi merr përsipër. Çfarëdo që të zgjidhni, shkruajeni dhe provojeni një herë, sepse rihapja publike e urgjencës si mekanizëm rikuperimi i padokumentuar do të kryhet përfundimisht nga dikush nën presion.

Mbani aksesin e rikuperimit për administratorët që mirëmbajnë portën dhe aplikacionin, me një pronar dhe një datë heqjeje. Regjistroni ndryshimin dhe kushtet e kthimit të tij në të njëjtin vend, që një migrim i dështuar të mos i bllokojë njerëzit që do ta rregullonin.

Pas kalimit, aplikimi i arnimeve, cikli i jetës së llogarive, autorizimi i aplikacionit dhe auditimi mbeten tuajat. Tuneli e ngushtoi hyrjen; nuk mori përsipër asnjë nga këto detyra.