دسترسی SSH و سرور
دسترسی SSH به سرورهای production و bastion را به یک IP شناخته‌شده محدود کنید. یک قانون فایروال کل تیم مهندسی را پوشش میدهد و دیگر خبری از تیکت‌های «IP من عوض شده» نیست.
VPN برای توسعهدهندگان و تیم‌های DevOps
VPN برای توسعهدهندگان به تیم مهندسی شما یک نشانی IP ثابت برای اتصال میدهد تا بتوانید یک IP را در همهٔ فایروال‌ها، گروه‌های امنیتی ابری و محیط‌های staging در فهرست مجاز قرار دهید، بهجای مدیریت IPهای تک‌تک توسعهدهندگان که هر بار کسی از جای دیگری کار کند تغییر می‌کنند. زیرساخت VPN اختصاصی یعنی IP هرگز عوض نمیشود، هر نشست ثبت میشود و دسترسی را میتوان همان لحظهای که توسعهدهندهای تیم را ترک میکند لغو کرد.
چرا توسعهدهندگان به VPN اختصاصی با IP ثابت نیاز دارند
VPN برای توسعهدهندگان زمانی بیشترین ارزش را دارد که برای دسترسی به زیرساخت به یک نشانی خروجی قابل پیش‌بینی و مورد اعتماد نیاز دارید
قفل کردن محیط staging
متعادل‌کنندهٔ بار یا URL محیط staging خود را طوری محدود کنید که فقط ترافیک IP اختصاصی VPN شما را بپذیرد. همهٔ توسعهدهندگان از طریق VPN به staging دسترسی دارند، بدون در معرض عموم بودن.
فهرست مجاز پایپلاین CI/CD
اجراکنندههای خودمیزبان یا ایجنتهای پایپلاین را از طریق IP اختصاصی VPN هدایت کنید. قانون فایروال برای همیشه ثابت میماند، حتی وقتی زیرساخت پایپلاین بزرگ‌تر میشود یا تغییر میکند.
دسترسی به API داخلی
پایپ‌لاین‌هایی که باید به APIهای داخلی برسند، مهاجرت پایگاه داده اجرا کنند یا به رجیستری‌های خصوصی ارسال کنند، می‌توانند این کار را با اطمینان از طریق یک IP مجاز انجام دهند.
فهرست مجاز پایگاه داده
پایگاه‌های دادهٔ production و staging خود را به یک IP مورد اعتماد محدود کنید. چه RDS باشد چه Cloud SQL، یک قانون فایروال همهٔ توسعهدهندگان و پایپلاینهای تیم شما را پوشش میدهد.
دسترسی SSH بدون دردسر فایروال
هر توسعه‌دهنده IP خانگی متفاوتی دارد: قوانین فایروال به فهرست بلندی از استثناها تبدیل می‌شوند که هر بار کسی سفر کند یا ارائه‌دهندهٔ اینترنتش را عوض کند از کار می‌افتند
مشکل
مدیریت استثناهای فایروال برای تک‌تک توسعهدهندگان شکننده است. هر استخدام جدید، نشست راه دور یا تغییر ارائه‌دهندهٔ اینترنت یک تیکت پشتیبانی می‌سازد. دسترسی به سرورهای production و bastion به فرایندی دستی و پرخطا تبدیل میشود.
راه‌حل
همهٔ توسعهدهندگان از طریق یک IP ثابت متصل می‌شوند. یک قانون فایروال کل تیم را برای همیشه پوشش میدهد. دسترسی SSH به سرورهای production و bastion را به یک نشانی شناخته‌شده محدود کنید و دیگر هرگز به آن برنگردید.
staging و CI/CD را به یک IP شناخته‌شده محدود کنید
محیط‌های staging در معرض اینترنت عمومی و IPهای پویای اجراکنندههای CI/CD، دو منبع رایج ریسک‌های قابل پیشگیری‌اند
قفل کردن محیط staging
URL یا متعادل‌کنندهٔ بار staging خود را طوری محدود کنید که فقط ترافیک IP اختصاصی VPN شما را بپذیرد. همهٔ توسعهدهندگان از طریق VPN به staging دسترسی دارند، بدون استثنا و بدون در معرض عموم بودن.
- قوانین listener در AWS ALB: محدودسازی بر اساس IP مبدأ
- سیاست‌های GCP Cloud Armor: فقط IP ثابت شما مجاز است
فهرست مجاز پایپلاین CI/CD
اجراکنندههای میزبانی‌شدهٔ GitHub Actions، GitLab CI و Jenkins از IPهای پویایی استفاده می‌کنند که در هر اجرا تغییر می‌کنند؛ بنابراین بدون یک نقطهٔ خروجی ثابت، فهرست مجاز IP ناممکن است.
- هدایت اجراکنندههای خودمیزبان از طریق IP اختصاصی VPN
- یک IP در فهرست مجاز برای دسترسی پایپلاین به APIهای داخلی
- مهاجرت‌های پایگاه داده‌ای مطمئن از پایپلاین شما
- ارسال به رجیستری‌های خصوصی بدون در معرض عموم بودن
یک IP برای فهرست مجاز در همه‌جا
همهٔ کنترل‌های دسترسی مبتنی بر IP را در کل پشتهٔ مهندسی خود در یک ورودی فایروال یکپارچه کنید
گروه‌های امنیتی ابری
AWS و GCP هر دو از قوانین امنیتی مبتنی بر IP پشتیبانی می‌کنند. یک ورودی IP ثابت، کل تیم مهندسی شما را در همهٔ حساب‌های ابری پوشش میدهد.
محدودیت‌های IP در SaaS
Datadog، PagerDuty، GitHub Enterprise، Jira و بیشتر ابزارهای SaaS سازمانی از فهرست مجاز IP پشتیبانی می‌کنند. یک بار اضافه کنید و برای همیشه از آن بهره ببرید.
ارائه‌دهندگان API شخص ثالث
بسیاری از پردازشگرهای پرداخت، ارائه‌دهندگان داده و APIهای خارجی درخواست‌های ورودی را بر اساس IP محدود می‌کنند. IP ثابت VPN مدیریت این محدودیت را بسیار ساده میکند.
ابزارهای داخلی و پنل‌های مدیریت
دسترسی به داشبوردهای داخلی، رابط‌های مدیریتی و ابزارهای پایش را به IP VPN محدود کنید: کنترل دسترسی سبک بدون زیرساخت اضافه.
پایگاه‌های داده
AWS RDS، Cloud SQL و پایگاه‌های دادهٔ خودمیزبان همگی از کنترل دسترسی مبتنی بر IP پشتیبانی می‌کنند. IP ثابت VPN خود را یک بار در فهرست مجاز قرار دهید و همهٔ اتصال‌های ورودی دیگر را برای همیشه محدود کنید.
بدانید در بازهٔ هر حادثه چه کسی دسترسی داشته است
گزارش‌های دسترسی وابسته به اعتبارنامهٔ هر توسعه‌دهنده، بدون ابهام IP اشتراکی
انتساب به هر توسعه‌دهنده
هر نشست به یک اعتبارنامهٔ فردی وابسته است، بدون ابهام IP اشتراکی. میتوانید به پرسش «چه کسی دسترسی داشت؟» دقیق پاسخ دهید.
پاسخ به حوادث
هنگام وقوع حادثه، گزارش‌های دسترسی به شما نشان می‌دهند دقیقاً چه کسی و چه زمانی متصل بوده است؛ دامنهٔ بررسی محدودتر و زمان پاسخ کوتاه‌تر میشود.
سوابق قابل خروجی‌گیری
گزارش‌های دسترسی رویدادهای اتصال را برای هر کاربر ثبت می‌کنند. با توسعهٔ این قابلیت، رویدادهای اعطا و لغو دسترسی هم ثبت خواهند شد تا تصویر روشنی از سابقهٔ دسترسی داشته باشید.
پرسش‌های متداول
پرسش‌های رایج دربارهٔ زیرساخت VPN برای توسعهدهندگان و تیم‌های DevOps
VPN با IP ثابت چه کمکی به توسعهدهندگان میکند؟
VPN با IP ثابت به کل تیم مهندسی شما یک نشانی IP واحد و ثابت برای اتصال میدهد. یعنی میتوانید با یک قانون فایروال همهٔ توسعهدهندگان را پوشش دهید، یک IP را در همهٔ ابزارهای SaaS و گروه‌های امنیتی ابری در فهرست مجاز قرار دهید و دیگر لازم نیست IPهای خانگی تک‌تک افراد را که مدام تغییر می‌کنند مدیریت کنید.
آیا میتوانم از VPN با IP اختصاصی برای دسترسی پایپلاین CI/CD استفاده کنم؟
بله. با هدایت ترافیک اجراکنندههای CI/CD خودمیزبان یا ایجنتهای پایپلاین از طریق IP اختصاصی VPN، میتوانید یک IP ثابت را در فایروال یا گروه امنیتی ابری خود در فهرست مجاز قرار دهید و برای همیشه به آن تکیه کنید، فارغ از اینکه پایپلاین کجا اجرا میشود.
آیا میتوانم دسترسی VPN توسعهدهندگان را از طریق API ایجاد و لغو کنم؟
بله. PrivyNet یک API برای مدیریت اعتبارنامهها ارائه میدهد که امکان خودکارسازی ورود و خروج افراد را بهعنوان بخشی از روندهای کاری فعلی توسعهدهندگان فراهم میکند.
اگر توسعهدهندهای تیم را ترک کند، چه بر سر قوانین فایروال میآید؟
هیچ تغییری در قوانین فایروال لازم نیست: IP ثابت همان میماند. کافی است اعتبارنامهٔ VPN توسعهدهندهٔ در حال خروج را از داشبورد یا از طریق API لغو کنید. قانون فایروال برای بقیهٔ تیم سر جای خود باقی میماند.
آیا PrivyNet با GitHub Actions، GitLab CI یا Jenkins کار میکند؟
بله. اجراکنندههای خودمیزبان و ایجنتهای پایپلاین هر سه پلتفرم را میتوان طوری پیکربندی کرد که از طریق IP اختصاصی VPN در PrivyNet عبور کنند؛ به این ترتیب پایپلاینهای شما نشانی خروجی ثابتی برای فهرست مجاز فایروال خواهند داشت.
به تیم مهندسی خود یک IP بدهید که همه‌جا کار کند
یک IP ثابت. آن را یک بار در همهٔ فایروال‌ها، گروه‌های امنیتی و ابزارهای SaaS تیم خود در فهرست مجاز قرار دهید و دیگر هرگز فهرست IP توسعهدهندگان را مدیریت نکنید.
یک IP ثابت
آماده برای SSH و CI/CD
اعتبارنامه‌های قابل مدیریت با API
