Kas die VPN-klassifikasie, hou die ouderdom sigbaar

’n Gekaste klassifikasie spaar ’n opsoektog en vries gister se mening in vandag se besluit in. Die werklike vergelyking is nie kas teen geen kas nie: dit is ’n waarneming, die varsheid daarvan en die reaksie wat jou werf gekies het. Verloor die grens tussen daardie drie en ’n optimering begin op sy eie beleid maak. Die herstelling is boekhouding, nie ’n beter voer nie.

Drie rekords met drie verskillende klokke

’n Waarneming is die veld wat jy ontvang het, die voer waaruit dit gekom het en die datastelweergawe daarvan. Varsheid is ’n eienskap van die kasinskrywing: wanneer die opsoektog geloop het, wanneer die inskrywing nie meer vertrou word nie, en of die laaste vernuwing iets teruggegee het. Die reaksie is wat jou werf daaromtrent doen vir hierdie versoek, hierdie rekening of hierdie aksie. Hulle word deur verskillende eienaars geproduseer en hulle verval teen verskillende tempo’s, en daarom vernietig een ry met die naam blocked die onderskeid.

Twee klokke verdien besondere sorg. Die oomblik toe jou opsoektog geloop het is nie die oomblik toe die verskaffer die datastel gepubliseer het nie, en ’n operateur wat die ry later lees moet weet van watter van die twee elke waarde kom. Stel verval en vernuwing volgens die voer se gedokumenteerde opdateringsmodel en die koste van verkeerd wees, nooit volgens ’n getal wat by ’n ander werf geleen is nie.

Hou die veld, nie ’n uitspraak nie

MaxMind se dokumentasie oor anonieme IP’s is een konkrete voorbeeld van ’n voer wat anonieme VPN, gasheerverskaffer, openbare proxy en Tor-uitgang in aparte velde skei. Dit dokumenteer ook dat ’n ongeregistreerde VPN-subnet eerder onder die gasheervlag kan verskyn. Om dit tot een booleaan plat te slaan gooi die enigste deel weg wat ’n operateur later sou kon oudit.

Geen van die twee rigtings van afleiding is veilig nie. ’n Gasheervlag bewys nie dat ’n tonnel gebruik is nie, en die afwesigheid van ’n VPN-vlag bewys nie dat niks tussen die kliënt en jou diens gesit het nie. Dit is twee verskillende bewerings, en ’n enkele booleaan kan nie een van hulle uitdruk nie.

Koppel die inskrywing aan die adres wat jy geverifieer het

Agter ’n omgekeerde proxy moet die toepassing die kliëntadreshantering gebruik wat die ontplooiing goedgekeur het. ’n Deurstuurheader wat die oproeper verskaf, mag nooit in staat wees om iemand anders se gekaste reputasie te kies nie.

Daardie fout is beide ’n korrektheidsfout en ’n sekuriteitsfout, want ’n aanvaller wat die header beheer kan ’n vertroude inskrywing erf of ’n slagoffer aan ’n slegte een vaspen. Lei die sleutel af uit die verbinding wat jou eie infrastruktuur beëindig het, en teken aan watter afleiding gebruik is. Wanneer verskeie proxies voor sit, dokumenteer die ketting in plaas van om die eerste header te vertrou wat geloofwaardig lyk. As die ketting dubbelsinnig is, teken die afgeleide sleutel en die header wat jy verwerp het aan, want die tweede is wat ’n voorvalondersoek sal vra.

Geen bewyse is nie ’n skoon resultaat nie

’n Time-out, ’n wanvormige antwoord en ’n onbeskikbare databasis beteken elkeen iets anders as ’n suksesvolle opsoektog wat niks gevind het nie. Stel hulle as aparte uitkomste voor, en besluit vooraf wat die beskermde aksie doen wanneer daar glad geen bewyse is nie. ’n Leesalleen-bladsy en ’n aanmeldrekeningaksie kan redelikerwys verskillende reëls daar volg.

Om normale verifikasie te hou, of om ’n ondersteunde verifikasie te vra, is gewoonlik ’n beter antwoord as om ’n onderbreking as algemene toestemming of as ’n werfbreë verbod te behandel. Beperk hoe lank ’n opsoektog mag duur en stop vernuwingsstorms met watter meganisme die integrasie ook ondersteun. Wanneer ’n verouderde waarde tydens ’n onderbreking gebruik word, merk dit as verouderd by die besluitpunt, en maak die vernuwing se laaste fout sigbaar sodat ’n langdurige fout nie vir ’n gesonde inskrywing kan deurgaan nie. Wat die keuse ook al is, skryf dit waar die beleid uitgevoer word eerder as in ’n kommentaar langs die opsoektog.

Bewaring hoort by dieselfde besluit: hou die velde wat hierdie funksie nodig het en die ouditspoor daarvan, niks meer nie. ’n IP-kas hoef nie ’n blaaiëgeskiedenis te word nie.

Aanvaar vier gevalle, insluitend ’n regstelling

Toets ’n vars resultaat, ’n verstreke resultaat, ’n mislukte opsoektog en ’n klassifikasie wat later reggestel is. Elkeen oefen ’n ander tak, en die laaste een is die enigste wat wys of ’n verkeerde beperking ongedaan gemaak kan word.

Bevestig dan dat ’n gewone gebruiker ’n roete het om na ’n verkeerde blokkering om hersiening te vra, want die voer sal soms verkeerd wees en die tou is deel van die ontwerp. Skryf die vier gevalle in die runbook met die beleideienaar se naam langs hulle. Die ontwerp verdien sy plek wanneer dit oortollige opsoektogte verwyder terwyl onsekerheid behoue bly en die besluit sigbaar deur ’n persoon besit word.