Tanqueu la vista prèvia temporal abans que es torni permanent

Un revisor que no pot connectar-se a la VPN necessita un enllaç per a una tarda, i al vespre el servei de producció té un nom d'amfitrió públic que ningú recorda haver aprovat. La sol·licitud era petita; el canvi no ho era. Una vista prèvia temporal és un camí d'accés nou amb una audiència, un abast de dades i una hora de finalització. Tracteu-la com qualsevol altra entrada, perquè la paraula temporal no tanca res.

Temporal és una durada, no un control

La paraula temporal descriu quant de temps hauria d'existir una cosa, no què la limita mentre existeix. Un nom d'amfitrió públic sense caducitat és permanent en el moment que la persona que el va crear canvia d'equip.

Abans que res quedi exposat, el propietari del servei i el propietari de seguretat haurien d'aprovar tres coses: l'audiència, les dades i la durada.

Un entorn de convidat o de revisió existent sovint és més senzill que publicar el servei de producció. Ja té un propietari, un camí d'aprovació i un procés de retirada. Construir una excepció nova per a una tarda és com una sol·licitud petita es converteix en un actiu permanent. Comenceu preguntant si la revisió pot passar dins d'alguna cosa que ja existeix.

Publiqueu una operació, mai una subxarxa

Trieu l'entrada més petita que encara doni suport a la revisió. Preferiu una còpia d'assaig amb dades adequades a la producció, i una interfície autenticada que arribi a un origen privat en lloc de qualsevol ruta de subxarxa.

Un repetidor amb abast de VPN no ha de publicar tota una subxarxa privada, i sens dubte no hauria de publicar la interfície d'administració de la passarel·la.

Anomeneu els comptes que hi poden passar i les accions que poden fer. Restringir per IP d'origen sí que estreny qui es pot connectar. No identifica una persona, perquè les adreces públiques es comparteixen i canvien.

Conserveu l'autorització pròpia de l'aplicació o una entrada explícitament de confiança que reconegui la identitat. Protegiu les baixades, les API i els camins administratius, no només la pàgina d'entrada. Una interfície que acaba TLS esdevé un punt final de confiança, i una ruta privada al darrere no converteix un visitant públic en membre de la VPN. Proveu els camins exclosos amb la mateixa cura que la pàgina d'entrada.

Identitat a la interfície, no a l'adreça d'origen

Les regles d'IP d'origen són útils per estrenyer l'exposició i inútils per provar qui és un revisor. Les connexions de casa canvien, les xarxes mòbils comparteixen adreces i un company pot ser darrere del mateix NAT.

Un proxy que reconeix la identitat o l'inici de sessió propi de l'aplicació us dona una decisió per persona. Això és el que fa possible la revocació més endavant, perquè podeu treure una identitat sense canviar la xarxa.

Manteniu la validació de certificats activa i bloquegeu l'accés directe a l'origen. Si l'origen encara és abastable des d'internet, la interfície és només decoració.

Revogueu el dret i la ruta

Registreu un propietari i una caducitat exacta al sistema operatiu que ja fa el seguiment de l'accés. Feu servir accés limitat en el temps o retirada programada allà on la plataforma ho admeti, i afegiu una comprovació per si l'automatització falla.

Al final acordat, retireu la interfície temporal, el permís de ruta i el dret del revisor a través dels seus propietaris. Les sessions existents i les connexions de llarga durada necessiten el seu propi tractament, perquè una ruta retirada no les acaba.

Un TTL de DNS curt no és la caducitat de l'accés. Canvia quant de temps un resolutor guarda la resposta. No desactiva un compte, no talla una sessió viva ni tanca un port que encara escolta.

Les còpies en memòria cau formen part del mateix problema. Baixar el camí de l'origen no recupera un fitxer que algú ja ha desat, i una memòria cau compartida pot servir còpies després que el repetidor desaparegui. Trieu la política de resposta i d'emmagatzematge abans que comenci la revisió.

Comproveu que el camí antic ha desaparegut de debò

L'acceptació és una sol·licitud nova que falla, més el flux de treball normal de la VPN encara funcionant. Proveu les dues coses, perquè una retirada que trenca el camí ordinari no és una retirada neta.

Des de fora de la xarxa, confirmeu que el nom i l'origen estan tots dos tancats:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Manteniu un registre d'auditoria estret del que es va aprovar, qui hi podia arribar i quan es va retirar. Aquest registre és la diferència entre una excepció controlada i un nom d'amfitrió sense explicació. Una vista prèvia temporal té èxit quan ofereix la revisió demanada i després deixa d'oferir-la. Que l'URL desaparegui d'un missatge de xat no és aquesta prova.