Премештање корпоративне веб апликације иза VPN-а: водич кроз прелазак

Замислите промену са стране корисника. Неко кликне на обележивач, очекује познату страницу за пријаву и уместо тога добија грешку везе, јер име домаћина сада одговара само унутар тунела. Тај један тренутак садржи све што план миграције мора исправно да уради: име, путању, сертификат, налог и операцију иза њих. Прођите кроз кораке испод тим редоследом и прелазак престаје да буде скок.

Корак 1: запишите шта корисници данас раде

Почните са именом домаћина у адресној траци, портом, операцијама које људи извршавају и налозима које користе. Ако не можете да наведете три главне операције, нисте спремни да затворите јавни улаз, јер током прихватања нећете препознати покварену.

Затим одлучите ко је приватна публика. Запослени на корпоративном VPN-у су почетак, а не одговор. Извођачи, особље подршке и финансијски тим можда свима треба апликација и можда не седе сви иза истих врата.

Корак 2: одвојте тунел од пријаве

Када корисник стигне до апликације преко VPN-а, прегледач и даље отвара TLS везу ка сопственој крајњој тачки апликације. Сертификат мора да одговара том имену, а апликација и даље проверава аутентичност налога. Ништа у тунелу не замењује ниједно од то двоје.

Ту миграције тихо крену наопако. Неко одлучи да приватној адреси више није потребан важећи сертификат, корисници науче да прођу кроз упозорење, а организација је заменила јавну изложеност обуком у игнорисању безбедносних упозорења. Ако апликацији заиста треба интерни сертификат, издајте га од интерног тела и правилно расподелите поверење. То је контролисана промена; страница са упозорењем није.

Задржите ауторизацију тамо где већ живи. Сажетак архитектуре нултог поверења NIST-а то каже директно: мрежна локација није разлог за давање осетљиве операције. Боравак у тунелу не треба да претвори налог само за читање у администратора.

Корак 3: пронађите позиваоце који нису запослени

Отворите конфигурацију апликације и наведите све што са њом разговара: URL повратног позива добављача идентитета, вебхук добављача плаћања, заказани увоз, сонда за надзор, API клијент партнера. Сваки је зависност са власником и сваки ће се покварити у различитом тренутку.

Одредите подржани пут за сваки који мора да остане. Добављач вебхука не може да се придружи вашем VPN-у за запослене, па или изложите уско ограничену интеграциону крајњу тачку са сопственом аутентификацијом, или промените модел интеграције. Оставити целу апликацију јавном због једног повратног позива је избор, и обично погрешан.

Запишите сваки изузетак са одредиштем, дозвољеном операцијом, аутентификацијом и власником. Општи VPN налог дат интеграцији је начин на који изузетак постаје трајан. Прегледајте листу на следећем прегледу приступа, јер интеграције живе дуже од пројеката који су их додали. Изузетак без датума истека је трајна дизајнерска одлука коју нико није донео.

Корак 4: повуците јавну путању, не само DNS запис

Прођите кроз ланац објављивања: DNS, слушаоци балансера оптерећења, правила обрнутог проксија, хост заштитни зид и свако алтернативно име које још показује на стару адресу. Проверите обе породице адреса. Промена главног A записа готово ништа не доказује ако старији CNAME или слушалац IPv6 још сервисира апликацију.

Паралелно потврдите да се приватно име разрешава унутар тунела и да сертификат покрива име које ће корисници откуцати. Корисник који мора да налепи нумеричку адресу пронашао је симптом, а не решење.

Ограничите публику VPN-а на путању апликације. Широк приступ канцеларијској мрежи мења једну одлуку о изложености за већу, а административни интерфејси захтевају сопствене дозвољене изворе уместо да наследе корисничко правило.

Корак 5: сами прођите кроз прихватање

Повежите се као одобрени корисник, отворите обележивач, проверите сертификат, пријавите се и извршите једну стварну операцију. Затим покушајте са налогом који не треба да има ту операцију и потврдите да му се одбија. Затим покушајте са уређаја изван VPN-а и потврдите да апликација није доступна.

Поновите за сваку задржану интеграцију и прочитајте дневник испоруке добављача уместо да претпоставите да је 200 из вашег сопственог алата за тестирање исто. Успешна пријава на VPN није доказ ни за један од ових резултата.

Корак 6: вежбајте лош дан

Одлучите шта се дешава током прекида тунела: посао стаје или преузима други одобрени начин приступа. Шта год да изаберете, запишите и тестирајте једном, јер хитно јавно поновно отварање као недокументовани механизам опоравка на крају ће извести неко под притиском.

Задржите приступ за опоравак администраторима који одржавају пролаз и апликацију, са власником и датумом уклањања. Забележите промену и услове за њено враћање на истом месту, како неуспела миграција не би закључала људе који би је поправили.

После преласка, закрпе, животни циклус налога, ауторизација апликације и ревизија су и даље ваши. Тунел је сузио улаз; није преузео ниједан од тих задатака.