Обеспечьте доступ VPN к ограниченной области нашего SaaS

Наши корпоративные клиенты для нашего SaaS имеют конфиденциальные данные в своей учетной записи и хотели бы убедиться, что их команда получает доступ к своим учетным записям на нашей платформе только через свои существующие решения VPN.

Как мы реализуем это?

• белый список IP-адресов
• Разрешить им как-то настроить VPC, чтобы избежать подключения к Интернету? Это что-то вроде AWS PrivateLink?

Здесь я быстро выхожу из себя.

В идеале я бы искал сервис, в котором клиенты могут настроить подключение из своей частной сети к своей учетной записи в нашей SaaS без нашего вмешательства. Существует ли такой вариант?

Подробнее о нашей настройке

Наше основное приложение SaaS — это отдельный экземпляр приложения Ruby on Rails и API Ruby on Rails, размещенный на Heroku.

В настоящее время пользователи подключаются, входя на веб-сайт, где мы аутентифицируемся через Auth0, который сохраняет учетные данные пользователя в своем сеансе.

Эти SaaSВаши эсы ничего толком не объясняют, это все равно, что постоянно упоминать «у меня есть компьютер».

Но, судя по моему опыту, обеспечение доступа к VPN в основном осуществляется путем внедрения IP-фильтров или, если вы используете веб-приложения, путем внедрения фильтров на основе HTTP на веб-серверах, повторного использования 403 страниц состояния для клиентов, которые пытаются получить доступ к приложению из внешний мир.

Для nginx это будет примерно так:

сервер {
    мой защищенный.из.внешнего.мира.сайт;
    слушать 80;

    разрешить 10.0.0.0/8;
    разрешить 192.168.0.0/16;
    разрешить 172.16.0.0/12;
    отрицать все;

    место расположения / {
        ...
    }
}

И IP-фильтрация для приложений и служб, не основанных на HTTP.