Đưa ứng dụng web của công ty ra sau VPN: hướng dẫn chuyển đổi

Hãy hình dung thay đổi từ phía người dùng. Ai đó nhấp vào dấu trang, mong đợi trang đăng nhập quen thuộc và thay vào đó nhận lỗi kết nối vì tên máy chủ giờ chỉ trả lời bên trong đường hầm. Khoảnh khắc duy nhất đó chứa đựng mọi thứ mà kế hoạch di chuyển phải làm đúng: tên, đường dẫn, chứng chỉ, tài khoản và thao tác phía sau. Đi qua các bước dưới đây theo thứ tự đó và việc chuyển đổi không còn là một cú nhảy.

Bước 1: ghi lại những gì người dùng làm hôm nay

Bắt đầu với tên máy chủ trong thanh địa chỉ, cổng, các thao tác mọi người thực hiện và các tài khoản họ dùng. Nếu bạn không thể kể tên ba thao tác chính, bạn chưa sẵn sàng đóng cửa vào công khai, vì bạn sẽ không nhận ra thao tác hỏng trong lúc nghiệm thu.

Sau đó quyết định ai là đối tượng riêng tư. Nhân viên trên VPN của công ty là điểm khởi đầu, không phải câu trả lời. Nhà thầu, nhân viên hỗ trợ và nhóm tài chính đều có thể cần ứng dụng và có thể không phải tất cả đều ngồi sau cùng một cổng.

Bước 2: tách đường hầm khỏi đăng nhập

Khi người dùng đến ứng dụng qua VPN, trình duyệt vẫn mở kết nối TLS tới điểm cuối của chính ứng dụng. Chứng chỉ phải khớp với tên đó, và ứng dụng vẫn xác thực tài khoản. Không gì trong đường hầm thay thế một trong hai.

Đây là nơi các cuộc di chuyển lặng lẽ sai. Ai đó quyết định địa chỉ riêng không còn cần chứng chỉ hợp lệ, người dùng học cách bấm qua cảnh báo, và tổ chức đã đổi một lần phơi bày công khai lấy một chương trình đào tạo về việc bỏ qua cảnh báo bảo mật. Nếu ứng dụng thực sự cần chứng chỉ nội bộ, hãy phát hành một chứng chỉ từ cơ quan nội bộ và phân phối sự tin cậy cho đúng. Đó là thay đổi có kiểm soát; trang cảnh báo thì không.

Giữ việc cấp quyền ở nơi nó vốn ở. Bản tóm tắt kiến trúc không tin cậy của NIST nói thẳng: vị trí mạng không phải lý do để cấp một thao tác nhạy cảm. Ở trong đường hầm không nên biến một tài khoản chỉ đọc thành quản trị viên.

Bước 3: tìm những bên gọi không phải nhân viên

Mở cấu hình của ứng dụng và liệt kê mọi thứ nói chuyện với nó: URL gọi lại của nhà cung cấp danh tính, webhook của nhà cung cấp thanh toán, một lần nhập theo lịch, một đầu dò giám sát, ứng dụng khách API của đối tác. Mỗi thứ là một phụ thuộc có chủ sở hữu, và mỗi thứ sẽ hỏng ở một thời điểm khác nhau.

Quyết định một đường đi được hỗ trợ cho mỗi thứ phải ở lại. Nhà cung cấp webhook không thể tham gia VPN nhân viên của bạn, nên hoặc bạn phơi ra một điểm cuối tích hợp phạm vi hẹp với xác thực riêng, hoặc thay đổi mô hình tích hợp. Để toàn bộ ứng dụng công khai chỉ vì có một lần gọi lại là một lựa chọn, và thường là lựa chọn sai.

Ghi lại mọi ngoại lệ với đích đến, thao tác được phép, xác thực và chủ sở hữu. Một tài khoản VPN chung giao cho một tích hợp chính là cách một ngoại lệ trở thành vĩnh viễn. Xem lại danh sách ở lần rà soát truy cập tiếp theo, vì các tích hợp sống lâu hơn những dự án đã thêm chúng. Một ngoại lệ không có ngày hết hạn là một quyết định thiết kế vĩnh viễn mà không ai đưa ra.

Bước 4: rút tuyến công khai, không chỉ bản ghi DNS

Đi qua chuỗi xuất bản: DNS, trình lắng nghe của bộ cân bằng tải, quy tắc proxy ngược, tường lửa máy chủ và bất kỳ tên thay thế nào vẫn trỏ tới địa chỉ cũ. Kiểm tra cả hai họ địa chỉ. Thay đổi bản ghi A chính gần như không chứng minh được gì nếu một CNAME cũ hơn hoặc một trình lắng nghe IPv6 vẫn phục vụ ứng dụng.

Song song đó, xác nhận rằng tên riêng phân giải được bên trong đường hầm và chứng chỉ bao phủ tên mà người dùng sẽ gõ. Người dùng phải dán một địa chỉ số đã tìm thấy một triệu chứng, không phải giải pháp.

Thu hẹp đối tượng VPN theo đường dẫn của ứng dụng. Truy cập rộng vào mạng văn phòng đổi một quyết định phơi bày lấy một quyết định lớn hơn, và các giao diện quản trị cần nguồn được phép riêng thay vì thừa kế quy tắc người dùng.

Bước 5: tự mình đi qua nghiệm thu

Kết nối với tư cách người dùng đã được phê duyệt, mở dấu trang, kiểm tra chứng chỉ, đăng nhập và thực hiện một thao tác thật. Sau đó thử một tài khoản không nên có thao tác đó và xác nhận bị từ chối. Tiếp theo thử từ một thiết bị ngoài VPN và xác nhận ứng dụng không thể truy cập.

Lặp lại cho mọi tích hợp được giữ lại, và đọc nhật ký phân phối của nhà cung cấp thay vì cho rằng một 200 từ công cụ kiểm thử của chính bạn là cùng một thứ. Đăng nhập VPN thành công không phải bằng chứng cho bất kỳ kết quả nào trong số này.

Bước 6: diễn tập ngày xấu

Quyết định điều gì xảy ra khi đường hầm gián đoạn: công việc dừng lại, hoặc một phương thức truy cập đã được phê duyệt khác tiếp quản. Dù bạn chọn gì, hãy ghi lại và kiểm thử một lần, vì việc mở lại công khai khẩn cấp như một cơ chế phục hồi không được ghi chép cuối cùng sẽ do ai đó dưới áp lực thực hiện.

Giữ quyền truy cập phục hồi cho các quản trị viên duy trì cổng và ứng dụng, kèm chủ sở hữu và ngày loại bỏ. Ghi lại thay đổi và các điều kiện hoàn tác ở cùng một nơi, để một cuộc di chuyển thất bại không khóa những người sẽ sửa nó.

Sau khi chuyển đổi, việc vá lỗi, vòng đời tài khoản, cấp quyền ứng dụng và kiểm toán vẫn là của bạn. Đường hầm đã thu hẹp cửa vào; nó không tiếp quản bất kỳ công việc nào trong số đó.