Dostęp SSH i do serwerów
Dostęp SSH do serwerów produkcyjnych i bastionów ograniczony do jednego znanego IP. Jedna reguła zapory obejmuje cały zespół inżynierów, koniec ze zgłoszeniami typu „zmieniło mi się IP”.
VPN dla programistów i zespołów DevOps
VPN dla programistów daje zespołowi inżynierów stały adres IP, z którego się łączą, dzięki czemu jedno IP można dodać do białej listy we wszystkich zaporach, grupach zabezpieczeń w chmurze i środowiskach testowych, zamiast zarządzać adresami IP poszczególnych programistów, które zmieniają się za każdym razem, gdy ktoś pracuje z innego miejsca. Dedykowana infrastruktura VPN oznacza, że IP nigdy się nie zmienia, każda sesja jest rejestrowana, a dostęp można odebrać w chwili, gdy programista odchodzi z zespołu.
Dlaczego programiści potrzebują dedykowanego VPN ze stałym IP
VPN dla programistów jest najcenniejszy wtedy, gdy do dostępu do infrastruktury potrzebny jest przewidywalny, zaufany adres wyjściowy
Zamknięcie środowiska testowego
Load balancer lub adres URL środowiska testowego można ograniczyć tak, by przyjmował ruch wyłącznie z dedykowanego IP VPN. Każdy programista łączy się ze środowiskiem testowym przez VPN, bez publicznej ekspozycji.
Biała lista dla potoków CI/CD
Ruch własnych runnerów lub agentów potoków można kierować przez dedykowane IP VPN. Reguła zapory pozostaje niezmienna na zawsze, nawet gdy infrastruktura potoków się rozrasta lub zmienia.
Dostęp do wewnętrznych API
Potoki, które muszą łączyć się z wewnętrznymi API, uruchamiać migracje baz danych lub wysyłać do prywatnych rejestrów, mogą robić to niezawodnie przez jedno IP na białej liście.
Biała lista dla baz danych
Produkcyjne i testowe bazy danych dostępne tylko z jednego zaufanego IP. Niezależnie od tego, czy to RDS, czy Cloud SQL, jedna reguła zapory obejmuje każdego programistę i każdy potok w zespole.
Dostęp SSH bez kłopotów z zaporą
Każdy programista ma inne domowe IP: reguły zapory zamieniają się w rozrastającą się listę wyjątków, które przestają działać, gdy ktoś wyjeżdża lub zmienia dostawcę internetu
Problem
Zarządzanie wyjątkami w zaporze dla każdego programisty z osobna jest kruche. Każda nowa osoba w zespole, sesja zdalna czy zmiana dostawcy internetu oznacza zgłoszenie do wsparcia. Dostęp do serwerów produkcyjnych i bastionów staje się ręcznym, podatnym na błędy procesem.
Rozwiązanie
Wszyscy programiści łączą się przez jedno stałe IP. Jedna reguła zapory obejmuje cały zespół, na stałe. Dostęp SSH do serwerów produkcyjnych i bastionów można ograniczyć do jednego znanego adresu i więcej do tego nie wracać.
Środowiska testowe i CI/CD dostępne tylko z jednego znanego IP
Środowiska testowe wystawione do publicznego internetu i dynamiczne adresy IP runnerów CI/CD to dwa częste źródła ryzyka, którego można uniknąć
Zamknięcie środowiska testowego
Adres URL środowiska testowego lub load balancer można ograniczyć tak, by przyjmował ruch wyłącznie z dedykowanego IP VPN. Każdy programista łączy się ze środowiskiem testowym przez VPN, bez wyjątków i bez publicznej ekspozycji.
- Reguły listenerów AWS ALB: ograniczenie według źródłowego IP
- Zasady GCP Cloud Armor: dopuszczenie tylko Państwa stałego IP
Biała lista dla potoków CI/CD
Hostowane runnery GitHub Actions, GitLab CI i Jenkins korzystają z dynamicznych adresów IP, które zmieniają się przy każdym uruchomieniu, przez co biała lista IP jest niemożliwa bez stałego punktu wyjścia.
- Ruch własnych runnerów kierowany przez dedykowane IP VPN
- Jedno IP na białej liście dla dostępu potoków do wewnętrznych API
- Niezawodne migracje baz danych z potoku
- Wysyłanie do prywatnych rejestrów bez publicznej ekspozycji
Jedno IP na białej liście wszędzie
Cała kontrola dostępu oparta na adresach IP w całym stosie technologicznym zespołu, zebrana w jednym wpisie zapory
Grupy zabezpieczeń w chmurze
AWS i GCP obsługują reguły bezpieczeństwa oparte na IP. Jeden wpis ze stałym IP obejmuje cały zespół inżynierów na wszystkich kontach w chmurze.
Ograniczenia IP w narzędziach SaaS
Datadog, PagerDuty, GitHub Enterprise, Jira i większość firmowych narzędzi SaaS obsługuje listy dozwolonych adresów IP. Wystarczy dodać adres raz, aby był aktualny na zawsze.
Zewnętrzni dostawcy API
Wielu operatorów płatności, dostawców danych i zewnętrznych API ogranicza przychodzące żądania według adresu IP. Stałe IP VPN sprawia, że to ograniczenie staje się banalne w obsłudze.
Narzędzia wewnętrzne i panele administracyjne
Dostęp do wewnętrznych pulpitów, interfejsów administracyjnych i narzędzi monitorujących można ograniczyć do IP VPN: lekka kontrola dostępu bez dodatkowej infrastruktury.
Bazy danych
AWS RDS, Cloud SQL i samodzielnie hostowane bazy danych obsługują kontrolę dostępu opartą na IP. Wystarczy raz dodać stałe IP VPN do białej listy i na stałe zablokować wszystkie inne połączenia przychodzące.
Wiadomo, kto miał dostęp w czasie każdego incydentu
Dzienniki dostępu powiązane z danymi logowania każdego programisty, bez niejasności współdzielonego IP
Przypisanie do konkretnego programisty
Każda sesja jest powiązana z indywidualnymi danymi logowania, bez niejasności współdzielonego IP. Na pytanie „kto miał dostęp?” można odpowiedzieć precyzyjnie.
Reagowanie na incydenty
Gdy dojdzie do incydentu, dzienniki dostępu pokazują dokładnie, kto i kiedy był połączony, co zawęża zakres dochodzenia i skraca czas reakcji.
Rejestry do eksportu
Dzienniki dostępu rejestrują zdarzenia połączeń dla każdego użytkownika. Wraz z rozwojem tej funkcji rejestrowane będą też zdarzenia nadania i odebrania dostępu, co da pełny obraz historii dostępu.
Najczęściej zadawane pytania
Częste pytania o infrastrukturę VPN dla programistów i zespołów DevOps
Jak VPN ze stałym IP pomaga programistom?
VPN ze stałym IP daje całemu zespołowi inżynierów jeden stały adres IP, z którego się łączą. Dzięki temu jedna reguła zapory obejmuje każdego programistę, w każdym narzędziu SaaS i grupie zabezpieczeń w chmurze dodaje się do białej listy jedno IP, a zarządzanie ciągle zmieniającymi się domowymi adresami IP przestaje być potrzebne.
Czy mogę używać VPN z dedykowanym IP do dostępu z potoków CI/CD?
Tak. Kierując ruch własnych runnerów CI/CD lub agentów potoków przez dedykowany adres IP VPN, można dodać jedno stałe IP do białej listy zapory lub grupy zabezpieczeń w chmurze i polegać na nim na stałe, niezależnie od tego, gdzie działa potok.
Czy mogę nadawać i odbierać programistom dostęp do VPN przez API?
Tak. PrivyNet udostępnia API do zarządzania danymi logowania, co pozwala zautomatyzować onboarding i offboarding w ramach istniejących procesów pracy programistów.
Co dzieje się z regułami zapory, gdy programista odchodzi z zespołu?
Reguły zapory nie wymagają żadnych zmian: stałe IP pozostaje takie samo. Wystarczy unieważnić dane logowania VPN odchodzącego programisty z panelu lub przez API. Reguła zapory pozostaje bez zmian dla reszty zespołu.
Czy PrivyNet współpracuje z GitHub Actions, GitLab CI lub Jenkins?
Tak. Własne runnery i agenty potoków na wszystkich trzech platformach można skonfigurować tak, by kierowały ruch przez dedykowany adres IP VPN PrivyNet, co daje potokom stały adres wyjściowy do dodania do białej listy zapory.
Jedno IP dla całego zespołu inżynierów
Jedno stałe IP. Wystarczy raz dodać je do białej listy w każdej zaporze, grupie zabezpieczeń i narzędziu SaaS zespołu, aby już nigdy nie zarządzać listą adresów IP programistów.
Jedno stałe IP
Gotowe na SSH i CI/CD
Dane logowania zarządzane przez API
