🆕 Приложения — Zero Trust доступ к вашим сервисам

Мы рады представить новый компонент платформы Tuna — Приложения. Это защищённый reverse proxy, который закрывает любой ваш веб-сервис авторизацией, SSO и гранулярным контролем доступа — без единой строчки изменений в самом сервисе.

Перейти к разделу Приложения в документации

Зачем это нужно?

Представьте: у вас есть внутренний сервис — админка, staging-окружение, Grafana, внутренний API. Вы хотите дать к нему доступ только нужным людям, из нужных стран, с подтверждением через корпоративный SSO. Раньше это означало возню с nginx, oauth2-proxy, сертификатами и списками доступа.

С Приложениями Tuna проверяет каждый входящий запрос: кто пользователь, как он аутентифицировался, откуда пришёл и имеет ли право видеть запрашиваемый путь. Всё это настраивается через веб-интерфейс за пару минут.

Что можно сделать:

• закрыть любой веб-сервис авторизацией без изменений в коде;
• гранулярно разграничить доступ — например, /admin/* только для администраторов из России, а /api/health открыть без аутентификации;
• подключить корпоративный SSO (Google, Yandex, GitHub, GitLab, VK, любой OIDC-совместимый провайдер);
• требовать MFA или ручное одобрение администратора для чувствительных операций;
• опубликовать сервис без публичного IP через туннель — достаточно одной команды;
• выдать машинный доступ через сервисные токены для CI/CD, мониторинга и автоматизации.

Два режима доставки трафика

При создании приложения вы выбираете, как Tuna будет доходить до вашего сервиса.

Режим	Когда использовать
Прокси	Сервис уже доступен по сети — в Kubernetes, облачной VM или той же сети, что и нода. Можно указать несколько upstream с балансировкой по весам
Туннель	Сервис без публичного IP — за NAT, на dev-машине или в корпоративной сети. Бэкенд сам подключается к Tuna через клиент-агент

В режиме туннеля после создания приложения вы получаете готовую команду:

tuna app <имя> --url=http://127.0.0.1:8080

Запустите её на машине с сервисом — и приложение станет доступно через защищённый домен.

Политики доступа — сердце системы

Каждый запрос проходит через цепочку политик. Первая политика, чей шаблон пути совпал, определяет судьбу запроса: пропустить, потребовать MFA, запросить одобрение или отказать. По умолчанию доступ запрещён.

Каждая политика — это паттерн пути (glob-шаблон вроде /admin/*) и действие:

• Разрешить — доступ при прохождении правил;
• Требовать MFA — то же плюс второй фактор (TOTP или код на email);
• Запретить — безусловная блокировка;
• Пропустить — путь без аутентификации (health check, webhook-эндпоинты).

Внутри политики настраиваются правила — кто именно получит доступ. Их можно комбинировать по режимам OR / AND / NOT и собирать из разных типов:

Тип правила	Пример
Команда / Email / Email RegExp	.*@company\.com$
IP / CIDR	10.0.0.0/8
Страна (GeoIP)	RU, US, DE
Способ входа	oidc, otp, mfa
Провайдер	google
Service Token	машинная аутентификация

Например, чтобы открыть /admin/* только участникам команды и только из России, достаточно одной политики с правилами «Команда» (or) и «Страна: RU» (and).

Тестирование без риска

Прежде чем применять конфигурацию, её можно проверить инструментом Тест политик — смоделировать запрос с любыми параметрами и увидеть, какое решение примет система. Без создания реальных сессий.

Вход через корпоративный SSO

Способы входа комбинируются — пользователь увидит их все на странице входа:

• Email OTP — одноразовый код на email, удобно для внешних подрядчиков;
• Аккаунты tuna.am — вход через личный аккаунт;
• Провайдеры команды — внешние Identity Provider (Google, Yandex, GitHub, GitLab, VK, любой OIDC).

Ещё больше контроля

Запросы доступа — для чувствительных ресурсов включите ручное одобрение. Пользователь объяснит причину, администратор одобрит доступ на нужный срок (от 15 минут до бессрочного).

Сервисные токены — машинная аутентификация для CI/CD, мониторинга и скриптов. Пара Client ID + Client Secret, передаётся в заголовках. Поддерживается ротация с grace-периодом — обновляйте секрет без простоя.

curl -H 'Tuna-Access-Client-Id: sat_...' \
     -H 'Tuna-Access-Client-Secret: ...' \
     https://your-app.example.com/

Сессии — пользователи видят свои активные сессии, администраторы — сессии всей команды с полной информацией (IP, страна, User-Agent, последняя активность). Любую сессию можно отозвать, а кнопка «Закрыть все сессии» завершает их разом.

Гибкие настройки прокси — заголовки запроса и ответа, переписывание путей, CORS, лимит размера тела, TLS до upstream и клиентский сертификат (mTLS).

Полный аудит

Все действия с приложениями записываются в аудит-лог: создание и изменение приложений, входы пользователей, одобрения и отклонения запросов доступа, отзыв сессий. Каждое событие содержит детали — кто, когда, откуда и что именно произошло.

Попробуйте прямо сейчас

Перейдите в раздел Приложения, нажмите + Добавить приложение — и закройте свой первый сервис авторизацией за пару минут.

Подробное описание всех возможностей — в документации:

• Политики доступа
• Запросы доступа
• Сервисные токены
• Сессии
• Настройки приложения

Leave feedback

If you enjoy using Tuna, or on the contrary you are not happy with something, please leave feedback.

Help

We value our users and carefully review every request. If you have any problems with tuna, please contact us in one of the following ways:

• Email
• Telegram community