Bir şirket web uygulamasını VPN'in arkasına taşımak: geçiş rehberi

Değişimi kullanıcı tarafından hayal edin. Birisi bir yer imine tıklar, tanıdık oturum açma sayfasını bekler ve bunun yerine bir bağlantı hatası alır, çünkü ana bilgisayar adı artık yalnızca tünelin içinde yanıt verir. O tek an, geçiş planının doğru yapması gereken her şeyi içerir: ad, yol, sertifika, hesap ve arkasındaki işlem. Aşağıdaki adımları bu sırayla izleyin ve geçiş artık bir sıçrama olmaktan çıkar.

Adım 1: kullanıcıların bugün ne yaptığını yazın

Adres çubuğundaki ana bilgisayar adıyla, bağlantı noktasıyla, insanların gerçekleştirdiği işlemlerle ve kullandıkları hesaplarla başlayın. Üç ana işlemi adlandıramıyorsanız, genel girişi kapatmaya hazır değilsiniz, çünkü kabul sırasında bozuk olanı tanıyamazsınız.

Ardından özel kitlenin kim olduğuna karar verin. Kurumsal VPN'deki çalışanlar bir başlangıçtır, cevap değildir. Yükleniciler, destek personeli ve finans ekibi uygulamaya ihtiyaç duyabilir ve hepsi aynı ağ geçidinin arkasında oturmuyor olabilir.

Adım 2: tüneli oturum açmadan ayırın

Kullanıcı uygulamaya VPN üzerinden ulaştığında, tarayıcı yine de uygulamanın kendi uç noktasına bir TLS bağlantısı açar. Sertifika bu adla eşleşmelidir ve uygulama hâlâ hesabın kimliğini doğrular. Tünelle ilgili hiçbir şey ikisinin yerini tutmaz.

Geçişler burada sessizce yanlış gider. Birisi özel adresin artık geçerli bir sertifikaya ihtiyacı olmadığına karar verir, kullanıcılar bir uyarıyı tıklayıp geçmeyi öğrenir ve kuruluş genel bir maruziyeti güvenlik uyarılarını görmezden gelme eğitimiyle değiştirmiş olur. Uygulama gerçekten dahili bir sertifikaya ihtiyaç duyuyorsa, dahili otoriteden bir tane verin ve güveni düzgün dağıtın. Bu kontrollü bir değişikliktir; uyarı sayfası değildir.

Yetkilendirmeyi zaten bulunduğu yerde bırakın. NIST'in sıfır güven mimarisi özeti konuyu doğrudan söyler: ağ konumu hassas bir işlem vermek için gerekçe değildir. Tünelin içinde olmak, salt okunur bir hesabı yöneticiye dönüştürmemelidir.

Adım 3: çalışan olmayan çağıranları bulun

Uygulamanın yapılandırmasını açın ve onunla konuşan her şeyi listeleyin: kimlik sağlayıcının geri çağırma URL'si, bir ödeme sağlayıcısının web kancası, planlanmış bir içe aktarma, bir izleme sondası, bir iş ortağının API istemcisi. Her biri sahibi olan bir bağımlılıktır ve her biri farklı bir anda bozulur.

Kalması gereken her biri için desteklenen bir yol belirleyin. Bir web kancası sağlayıcısı çalışan VPN'inize katılamaz, bu nedenle ya kendi kimlik doğrulamasına sahip dar kapsamlı bir entegrasyon uç noktası açın ya da entegrasyon modelini değiştirin. Bir geri çağırma var diye tüm uygulamayı genel bırakmak bir seçimdir ve genellikle yanlış olandır.

Her istisnayı hedef, izin verilen işlem, kimlik doğrulama ve sahibiyle yazın. Bir entegrasyona verilen genel VPN hesabı, bir istisnanın kalıcı hale gelme yoludur. Listeyi bir sonraki erişim incelemesinde gözden geçirin, çünkü entegrasyonlar onları ekleyen projelerden daha uzun yaşar. Bitiş tarihi olmayan bir istisna, kimsenin almadığı kalıcı bir tasarım kararıdır.

Adım 4: yalnızca DNS kaydını değil, genel rotayı kaldırın

Yayın zincirini izleyin: DNS, yük dengeleyici dinleyicileri, ters proxy kuralları, ana bilgisayar güvenlik duvarı ve hâlâ eski adrese işaret eden her alternatif ad. Her iki adres ailesini kontrol edin. Ana A kaydını değiştirmek, daha eski bir CNAME veya bir IPv6 dinleyicisi uygulamaya hizmet vermeye devam ediyorsa neredeyse hiçbir şeyi kanıtlamaz.

Paralel olarak, özel adın tünel içinde çözümlendiğini ve sertifikanın kullanıcıların yazacağı adı kapsadığını doğrulayın. Sayısal bir adresi yapıştırmak zorunda kalan kullanıcı bir belirti bulmuştur, çözüm değil.

VPN kitlesini uygulamanın yoluna sınırlayın. Ofis ağına geniş erişim, bir maruziyet kararını daha büyük bir kararla değiştirir ve yönetim arayüzleri kullanıcı kuralını devralmak yerine kendi izin verilen kaynaklarına ihtiyaç duyar.

Adım 5: kabulü kendiniz yürütün

Onaylanmış bir kullanıcı olarak bağlanın, yer imini açın, sertifikayı kontrol edin, oturum açın ve gerçek bir işlem gerçekleştirin. Ardından o işleme sahip olmaması gereken bir hesapla deneyin ve reddedildiğini doğrulayın. Sonra VPN dışındaki bir cihazdan deneyin ve uygulamaya ulaşılamadığını doğrulayın.

Korunan her entegrasyon için tekrarlayın ve kendi test aracınızın 200'ünün aynı şey olduğunu varsaymak yerine sağlayıcının teslimat günlüğünü okuyun. Başarılı bir VPN oturum açma, bu sonuçların hiçbiri için kanıt değildir.

Adım 6: kötü günü prova edin

Tünel kesintisi sırasında ne olacağına karar verin: iş durur ya da başka bir onaylanmış erişim yöntemi devralır. Ne seçerseniz seçin, yazın ve bir kez test edin, çünkü belgelenmemiş bir kurtarma mekanizması olarak acil genel yeniden açma sonunda baskı altındaki biri tarafından gerçekleştirilecektir.

Ağ geçidini ve uygulamayı bakımda tutan yöneticiler için sahibi ve kaldırma tarihiyle birlikte kurtarma erişimini koruyun. Değişikliği ve geri alma koşullarını aynı yerde kaydedin, böylece başarısız bir geçiş onu düzeltecek kişileri kilitlemesin.

Geçişten sonra yama uygulama, hesap yaşam döngüsü, uygulama yetkilendirmesi ve denetim hâlâ sizin. Tünel girişi daralttı; bu işlerin hiçbirini devralmadı.