Un URL ar gyfer y swyddfa a’r VPN? Pam y metha’r myth am y rhestr ganiatau

Cysylltwch y twnnel, agorwch yr un nod tudalen, ac mae’r saflen ar y rhestr ganiatau yn ateb yn union fel y gwnâi o’r swyddfa. Dyna’r rhagdybiaeth y mae’r rhan fwyaf o gynlluniau mynediad o bell yn gorffwys arni’n dawel, ac nid yw’n dal ond tra bo tri pheth ar wahân yn parhau’n wir ar yr un pryd. Nid oes yr un ohonynt yn nodwedd o’r cleient VPN, ac ni all unrhyw gofnod DNS ddarparu’r un ohonynt. Pan fydd y nod tudalen yn methu gartref, mae’r porwr yn rhoi un gwall cyffredinol i chi, boed yr achos yn llwybr ar goll, yn gyfeiriad allanfa heb ei gymeradwyo, neu’n ddirprwy a ddisodlodd y ffynhonnell y mae’n ei hadrodd. Trin y tri hynny fel un broblem yw’r ffordd y mae mân atgyweiriad polisi yn troi’n wythnos o ehangu rhestrau ganiatau.

Mae’r dyluniad sy’n goroesi cysylltiad â rhwydwaith swyddfa go iawn yn gulach na’r rhagdybiaeth: tabl penderfyniadau penodol o dair rhes, un pwynt gorfodi na ellir ei osgoi, a phrawf gwadu sy’n profi rhywbeth. Dadansoddi’r rhagdybiaeth sy’n dod gyntaf, oherwydd mae popeth ar ei ôl yn dibynnu ar wybod pa haen sy’n camgynrychioli’r ffynhonnell.

Y myth: nid yw cysylltu yn llwybro

Sefydlir twnnel, ac mae’r cleient yn gosod llwybrau ar gyfer rhyw set o ragddodiaid. Dyna’r cyfan y mae cysylltu yn ei wneud. P’un a yw cais HTTPS diamherth yn teithio drwy’r twnnel, a pha gyfeiriad cyhoeddus y mae’n ymddangos ei fod yn dod ohono pan gyrhaedda, penderfyniadau yw’r rhain a wneir yn ddiweddarach gan gydrannau eraill: y tabl llwybro sy’n dewis y llwybr, a’r allanfa sy’n dewis y ffynhonnell.

Dyma pam y mae’r swyddfa a’r bwrdd yn y gegin yn gwahanu gyda’r un gliniadur, yr un proffil porwr a’r un nod tudalen. Yn y swyddfa mae’r cais yn gadael drwy gyfeiriad cyhoeddus a gynhelir y cytunodd gweithredwr y saflen arno. Drwy dwnnel llawn gall adael drwy allanfa’r VPN, sef cyfeiriad gwahanol ac, nes i rywun ei ychwanegu, un heb ei gymeradwyo. Drwy dwnnel hollt efallai na fydd yn mynd i mewn i’r twnnel o gwbl. Dim ond dau o’r tri llwybr hynny oedd erioed yn rhan o’r cytundeb â pherchennog y saflen, ac nid yw’r trydydd yn fai i’w glytio â rhes allow ychwanegol.

Tri chyflwr cais, dwy allanfa gymeradwy

Ysgrifennwch y matrics cyn cyffwrdd â mur gwarchod, oherwydd y tabl yw’r dyluniad a’r rheol yn un gweithrediad ohono yn unig. Mae’r cyfeiriadau isod yn amrywiaethau dogfennu; disodlwch hwy â’ch gwerthoedd a gynhelir a’u cadw lle gall perchennog y saflen eu harchwilio.

Y rhes ganol yw lle mae’r rhan fwyaf o’r cynlluniau hyn yn torri. Yr hyn sy’n cyfrif yw’r cyfeiriad y mae’r ddyfais orfodi yn ei weld, nid y cyfeiriad preifat y mae’r gliniadur yn ei ddal y tu mewn i’r twnnel ac nid ei gyfeiriad LAN. Nid yw gwerth fel 10.8.0.6 yn golygu dim i saflen gyhoeddus, ac nid yw 192.168.1.44 chwaith. Manylyn cyfeirio’r twnnel yw cyfeiriad twnnel, nid tystlythyr y gall y saflen ei wirio.

Os na all eich VPN ddarparu allanfa sefydlog, ddogfennedig, nid oes gan y matrics res ganol ddilys ac ni fydd unrhyw faint o restrau ganiatau yn ei dyfeisio. Y dewisiadau gonest ar y pwynt hwnnw yw saflen breifat y cyrchir ati dros lwybrau preifat penodol, neu borth mynediad sy’n ymwybodol o hunaniaeth o flaen y cymhwysiad. Mae gan y ddau gontract gwahanol i restr ganiatau gyhoeddus, ac mae’r ddau yn haws eu hesbonio i archwilydd na rhestr a gynyddodd nes iddi ddigwydd gweithio.

Darllenwch y ffynhonnell lle gwneir y penderfyniad

Rhowch y cyfyngiad ar y ddyfais sy’n terfynu’r cais, a chadarnhewch nad oes unrhyw lwybr tarddiad arall yn ei osgoi. Modiwl mynediad Nginx yn gwerthuso’r cyfarwyddebau allow a deny yn eu trefn, y gêm gyntaf i gydweddu sy’n ennill, ac mae rheolau a etifeddwyd o floc sy’n amgáu yn dal i fod yn weithredol y tu mewn i location. Mae allow cul wrth ymyl allow llydan yn yr un lle fel arfer yn golygu mai’r llydan sy’n penderfynu. Darllenwch y ffurfweddiad effeithiol cyfan ar gyfer y location hwnnw cyn golygu un llinell ohono.

server {
    listen 443 ssl;
    server_name intranet.example.com;

    set_real_ip_from 10.20.0.10;
    real_ip_header X-Forwarded-For;
    real_ip_recursive on;

    location /app/ {
        allow 203.0.113.24;    # office public exit
        allow 198.51.100.77;   # approved VPN egress
        deny  all;
        proxy_pass http://app_backend;
    }
}

Y tu ôl i gydbwysydd llwyth neu ddirprwy gwrthdro, mae’r rheol honno yn gweld y dirprwy oni bai eich bod yn dweud yn wahanol wrthi. Adferwch gyfeiriad y galwr dim ond drwy’r mecanwaith dirprwy dibynadwy a gefnogir, gyda rhestr benodol o gyfeiriadau dirprwy. Nid yw pennawd cais sy’n honni cyfeiriad cymeradwy yn brawf bod y galwr yn berchen arno, ac ar wrandawr cyhoeddus mae pennawd a anfonwyd ymlaen heb ei ddilysu yn troi’r rhestr ganiatau yn addurn.

Yna gwiriwch y teulu cyfeiriad arall. Mae set reolau sy’n cwmpasu IPv4 yn unig yn benderfyniad anghyflawn ar gyfer enw gwesteiwr sy’n ateb ar AAAA hefyd, a bydd cleient â IPv6 gweithiol yn cyrraedd yr un cymhwysiad drwy lwybr na chawsoch erioed ei adolygu.

Twnnel hollt: y cais nad yw byth yn mynd i mewn

Nid yw twnnel hollt yn cario ond y rhagddodiaid ar ei restr. Mae is-rwydweithiau swyddfa mewol fel arfer yn mynd ar y rhestr honno; nid yw gwefan gyhoeddus yn gwneud. Mae’r porwr yn datrys yr enw, yn cymharu’r cyfeiriad a ddewiswyd â’r tabl llwybro, ac yn dal i ddod o hyd i’r porth cysylltiad diofyn lleol o’i flaen.

Felly daw’r cais o gysylltiad cartref y defnyddiwr, caiff ei wrthod, ac mae’r adroddiad yn dweud bod y VPN wedi torri tra bo’r twnnel yn gwneud yn union yr hyn y cafodd ei ffurfweddu i’w wneud. Mae dau atgyweiriad yn gyfreithlon: llwybrwch y gyrchfan honno drwy’r twnnel a gadewch i’r allanfa gymeradwy ei chario, neu dderbyn bod y saflen yn cael ei chyrraedd yn uniongyrchol a rhoi llwybr cymeradwy arall i ddefnyddwyr o bell, fel y porth mynediad. Mae ehangu rhestr ganiatau gyhoeddus y saflen nes bod cyfeiriad cartref yn digwydd cael ei gynnwys yn y naill na’r llall, ac mae’n dileu’r ffin yr oedd y dyluniad i fod i’w gorfodi. Mae’r ddau gyntaf yn cadw’r matrics yn onest; mae’r trydydd yn dileu rhes ohono’n dawel.

Profwch y gwad, yna’r adferiad

Profwch â chais sy’n arfer y penderfyniad go iawn, o gleient sy’n sefyll ar bob rhes o’r tabl. Nid yw gwiriad cyrraeddadwyedd yn erbyn rhyw dudalen adrodd cyfeiriad diamherth yn profi dim, oherwydd efallai bod y gyrchfan honno yn dilyn llwybr gwahanol i’r cymhwysiad.

curl -sS -o /dev/null -w 'status=%{http_code}
' https://intranet.example.com/app/login
# repeat with the tunnel up, then with it down
tail -f /var/log/nginx/access.log | grep ' /app/'

Cymharwch gofnod mynediad y ffin â’r hyn a ragfynegodd y tabl. Yna tynnwch y twnnel i lawr a gwnewch gais newydd y dylid ei wrthod; nid yw tudalen sydd eisoes wedi’i llwytho, na chysylltiad sydd eisoes yn agored, yn profi dim o gwbl. Os na ddaw gwad i’r golwg, nid yw’r pwynt gorfodi lle’r ydych chi’n credu.

Cadwch dilysu’r cymhwysiad ar ôl derbyn i’r rhwydwaith, oherwydd mae allanfa swyddfa ac allanfa VPN bob un yn cynrychioli llawer o bobl ac nid yw’r un yn adnabod unigolyn. Mae’r cyfarwyddyd i ddefnyddwyr yn parhau’n fyr: codwch y twnnel cymeradwy, yna ceisiwch eto. Dyna sy’n cadw un URL yn gyfleus tra bo’r rheol ffynhonnell yn parhau’n benderfyniad yn lle’n ddyfaliad.