Закрыйце часовы прагляд, пакуль ён не стаў пастаянным

Рэцэнзенту, які не можа далучыцца да VPN, патрэбна спасылка на адзін паўдзень, а да вечара ў прадукцыйнага сэрвісу з'яўляецца публічнае імя хоста, якое ніхто не памятае, што ўзгадняў. Запыт быў малы; змена — не. Часовы прагляд — гэта новы шлях доступу з аўдыторыяй, абсягам даных і часам заканчэння. Стаўцеся да яго як да любога іншага ўваходу, бо слова часовы нічога не зачыняе.

Часовы — гэта працягласць, а не кантроль

Слова часовы апісвае, як доўга нешта павінна існаваць, а не тое, што абмяжоўвае яго, пакуль яно існуе. Публічнае імя хоста без тэрміну дзеяння становіцца пастаянным у той момант, калі чалавек, які яго стварыў, пераходзіць у іншую каманду.

Перш чым нешта будзе адкрыта, уладальнік сэрвісу і ўладальнік бяспекі павінны ўзгадніць тры рэчы: аўдыторыю, даныя і працягласць.

Існуючае асяроддзе гасцявога VPN або рэцэнзіі часта прасцейшае за публікацыю прадукцыйнага сэрвісу. У яго ўжо ёсць уладальнік, шлях узгаднення і працэс выдалення. Стварэнне новага выключэння на адзін паўдзень — гэта тое, як малы запыт ператвараецца ў пастаянны актыў. Пачніце з пытання, ці можа рэцэнзія адбыцца ўнутры таго, што ўжо існуе.

Публікуйце адну аперацыю, ніколі не падсетку

Выберыце найменшы ўваход, які ўсё яшчэ падтрымлівае рэцэнзію. Аддавайце перавагу копіі ў тэставым асяроддзі з прыдатнымі данымі замест прадукцыі і аўтэнтыфікаванаму фронтэнду, які дасягае адной прыватнай крыніцы, замест любога маршруту падсеткі.

Рэлей з дасяжнасцю VPN не абавязаны публікаваць усю прыватную падсетку і тым больш не павінен публікаваць адміністрацыйны інтэрфейс шлюза.

Назвіце ўліковыя запісы, якім дазволены праход, і дзеянні, якія яны могуць выконваць. Абмежаванне па адрасе крыніцы сапраўды звужае кола тых, хто можа падключыцца. Але яно не вызначае чалавека, бо публічныя адрасы агульныя і змяняюцца.

Захавайце ўласную аўтарызацыю праграмы або яўна давераны ўваход, які ўлічвае ідэнтычнасць. Абараняйце спампоўкі, API і адміністрацыйныя шляхі, а не толькі стартавую старонку. Фронтэнд, які завяршае TLS, становіцца давераным канцавым пунктам, а прыватны маршрут за ім не робіць публічнага наведвальніка ўдзельнікам VPN. Правярайце выключаныя шляхі так жа старанна, як стартавую старонку.

Ідэнтычнасць на фронтэндзе, а не ў адрасе крыніцы

Правілы па адрасе крыніцы карысныя для звужэння экспазіцыі і бескарысныя для доказу, хто такі рэцэнзент. Хатнія злучэнні змяняюцца, мабільныя сеткі дзеляць адрасы, а калега можа быць за тым жа NAT.

Проксі, які ўлічвае ідэнтычнасць, або ўласны лагін праграмы дае рашэнне па кожным чалавеку. Менавіта гэта робіць магчымым адкліканне пазней, бо вы можаце выдаліць адну ідэнтычнасць, не змяняючы сетку.

Трымайце праверку сертыфіката ўключанай і блакуйце прамы доступ да крыніцы. Калі крыніца ўсё яшчэ дасяжная з інтэрнэту, фронтэнд — гэта проста ўпрыгожанне.

Адклічце права і маршрут

Запішыце ўладальніка і дакладны тэрмін дзеяння ў аперацыйнай сістэме, якая ўжо адсочвае доступ. Выкарыстоўвайце доступ на пэўны час або запланаванае выдаленне там, дзе платформа гэта падтрымлівае, і дадайце праверку на выпадак збою аўтаматызацыі.

У ўзгоджаны канец спыніце часовы фронтэнд, дазвол на маршрут і права рэцэнзента праз іх уладальнікаў. Існуючыя сеансы і доўгатэрміновыя злучэнні патрабуюць асобнай апрацоўкі, бо выдалены маршрут іх не спыняе.

Кароткі DNS TTL — гэта не заканчэнне доступу. Ён змяняе, як доўга рэзалвер захоўвае адказ. Ён не адключае ўліковы запіс, не абрывае жывы сеанс і не зачыняе порт, які ўсё яшчэ слухае.

Кэшаваныя копіі — частка той жа праблемы. Вывад шляху крыніцы не вяртае файл, які хтосьці ўжо захаваў, а агульны кэш можа аддаваць копіі пасля знікнення рэлея. Выберыце палітыку адказаў і захоўвання да пачатку рэцэнзіі.

Праверце, што стары шлях сапраўды знік

Прыёмка — гэта новы запыт, які не ўдаецца, плюс звычайны працоўны працэс VPN, які ўсё яшчэ працуе. Праверце абодва, бо выдаленне, якое ламае звычайны шлях, не з'яўляецца чыстым выдаленнем.

Звонку сеткі пацвердзіце, што і імя, і крыніца абодва зачыненыя:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Трымайце вузкі аўдыцыйны запіс пра тое, што было ўзгоднена, хто мог да гэтага дабрацца і калі гэта выдалілі. Гэты запіс — розніца паміж кантраляваным выключэннем і невытлумачаным імем хоста. Часовы прагляд дасягае поспеху, калі дае патрэбную рэцэнзію і потым перастае яе даваць. Знікненне URL з паведамлення ў чаце — гэта не такі тэст.