SSH и доступ к серверам
Ограничьте доступ по SSH к рабочим серверам и бастионам одним известным IP. Одно правило брандмауэра охватывает всю инженерную команду, и заявок «у меня сменился IP» больше не будет.
VPN для разработчиков и DevOps-команд
VPN для разработчиков даёт вашей инженерной команде статический IP-адрес для подключения. Вы вносите в белый список один IP во всех брандмауэрах, облачных группах безопасности и тестовых средах, а не управляете IP отдельных разработчиков, которые меняются всякий раз, когда кто-то работает из другого места. Выделенная VPN-инфраструктура означает, что IP никогда не меняется, каждый сеанс записывается, а доступ можно отозвать в тот момент, когда разработчик покидает команду.
Зачем разработчикам выделенный VPN со статическим IP
VPN для разработчиков особенно ценен, когда для доступа к инфраструктуре нужен предсказуемый и доверенный исходящий адрес
Закрытая тестовая среда
Настройте балансировщик нагрузки или URL тестовой среды так, чтобы они принимали трафик только с IP вашего выделенного VPN. Каждый разработчик заходит в тестовую среду через VPN, без открытого доступа из интернета.
Белые списки для конвейеров CI/CD
Направьте собственные раннеры или агенты конвейера через IP выделенного VPN. Правило брандмауэра остаётся неизменным навсегда, даже когда инфраструктура конвейеров растёт или меняется.
Доступ к внутренним API
Конвейеры, которым нужно обращаться к внутренним API, выполнять миграции баз данных или публиковать в частные реестры, надёжно делают это через один IP из белого списка.
Белые списки для баз данных
Закройте рабочие и тестовые базы данных одним доверенным IP. Будь то RDS или Cloud SQL, одно правило брандмауэра охватывает всех разработчиков и все конвейеры вашей команды.
Доступ по SSH без мороки с брандмауэром
У каждого разработчика свой домашний IP: правила брандмауэра превращаются в разрастающийся список исключений, который ломается, стоит кому-то уехать или сменить провайдера
Проблема
Вести исключения в брандмауэре для каждого разработчика ненадёжно. Каждый новый сотрудник, удалённый сеанс или смена провайдера порождает заявку в поддержку. Доступ к рабочим серверам и бастионам превращается в ручной процесс, полный ошибок.
Решение
Все разработчики подключаются через один статический IP. Одно правило брандмауэра навсегда охватывает всю команду. Ограничьте доступ по SSH к рабочим серверам и бастионам одним известным адресом и больше к этому не возвращайтесь.
Закройте тестовые среды и CI/CD одним известным IP
Тестовые среды, открытые в публичный интернет, и динамические IP раннеров CI/CD: два частых источника риска, которого можно избежать
Закрытая тестовая среда
Настройте URL тестовой среды или балансировщик нагрузки так, чтобы они принимали трафик только с IP вашего выделенного VPN. Каждый разработчик заходит в тестовую среду через VPN, без исключений и без открытого доступа из интернета.
- Правила прослушивателя AWS ALB: ограничение по IP источника
- Политики GCP Cloud Armor: разрешён только ваш статический IP
Белые списки для конвейеров CI/CD
Облачные раннеры GitHub Actions, GitLab CI и Jenkins используют динамические IP, которые меняются при каждом запуске, поэтому без статической точки выхода внести их в белый список невозможно.
- Направьте собственные раннеры через IP выделенного VPN
- Один IP в белом списке для доступа конвейера к внутренним API
- Надёжные миграции баз данных из конвейера
- Публикация в частные реестры без открытого доступа
Один IP для белых списков везде
Сведите весь контроль доступа по IP во всём вашем инженерном стеке к одной записи в брандмауэре
Облачные группы безопасности
И AWS, и GCP поддерживают правила безопасности по IP. Одна запись со статическим IP охватывает всю инженерную команду во всех облачных учётных записях.
Ограничения по IP в SaaS
Datadog, PagerDuty, GitHub Enterprise, Jira и большинство корпоративных SaaS-сервисов поддерживают списки разрешённых IP. Добавьте один раз и пользуйтесь всегда.
Сторонние поставщики API
Многие платёжные системы, поставщики данных и внешние API ограничивают входящие запросы по IP. Со статическим VPN IP соблюдать это ограничение совсем просто.
Внутренние инструменты и админ-панели
Ограничьте доступ к внутренним панелям, административным интерфейсам и инструментам мониторинга IP вашего VPN: лёгкий контроль доступа без дополнительной инфраструктуры.
Базы данных
AWS RDS, Cloud SQL и собственные базы данных поддерживают контроль доступа по IP. Один раз внесите статический VPN IP в белый список и навсегда закройте все остальные входящие подключения.
Знайте, у кого был доступ в момент любого инцидента
Журналы доступа привязаны к учётным данным каждого разработчика, без неясности, свойственной общему IP
Привязка к каждому разработчику
Каждый сеанс привязан к отдельным учётным данным, без неясности, свойственной общему IP. На вопрос «у кого был доступ?» вы ответите точно.
Реагирование на инциденты
При инциденте журналы доступа показывают, кто именно и когда был подключён. Это сужает круг расследования и сокращает время реагирования.
Выгружаемые записи
Журналы доступа фиксируют события подключения по каждому пользователю. По мере развития функции будут записываться и события выдачи и отзыва доступа, что даст вам ясную картину истории доступа.
Часто задаваемые вопросы
Частые вопросы о VPN-инфраструктуре для разработчиков и DevOps-команд
Чем VPN со статическим IP помогает разработчикам?
VPN со статическим IP даёт всей вашей инженерной команде один фиксированный IP-адрес для подключения. Вы добавляете одно правило брандмауэра для всех разработчиков, вносите один IP в белый список каждого SaaS-сервиса и облачной группы безопасности и перестаёте следить за домашними IP, которые постоянно меняются.
Можно ли использовать VPN с выделенным IP для доступа конвейеров CI/CD?
Да. Направив трафик своих раннеров CI/CD или агентов конвейера через IP выделенного VPN, вы вносите один статический IP в белый список брандмауэра или облачной группы безопасности и можете полагаться на него всегда, где бы ни выполнялся конвейер.
Можно ли выдавать и отзывать VPN-доступ разработчиков через API?
Да. PrivyNet предоставляет API для управления учётными данными, поэтому подключение и отключение разработчиков можно автоматизировать в рамках ваших текущих рабочих процессов.
Что происходит с правилами брандмауэра, если разработчик уходит из команды?
Правила брандмауэра менять не нужно: статический IP остаётся прежним. Вы просто отзываете VPN-учётные данные уходящего разработчика в панели управления или через API. Правило брандмауэра продолжает работать для остальной команды.
Работает ли PrivyNet с GitHub Actions, GitLab CI или Jenkins?
Да. Собственные раннеры и агенты конвейеров на всех трёх платформах можно настроить так, чтобы их трафик шёл через выделенный VPN IP от PrivyNet. Так у ваших конвейеров будет постоянный исходящий адрес для белых списков брандмауэра.
Один IP для всей инженерной команды
Один статический IP. Один раз добавьте его в белый список каждого брандмауэра, группы безопасности и SaaS-сервиса вашей команды и больше никогда не ведите список IP разработчиков.
Один статический IP
Готов для SSH и CI/CD
Управление учётными данными через API
