Isbarthau a rennir, dau fynedfa: pwy sy’n gweld pa gofnodion?

Mae Clinig A a Clinig B yn rhannu un gronfa god, dau isbarth, a chymysgedd o ymwelwyr o’r swyddfa ac o VPN. Mae timau rhwydwaith yn tueddu i ffurfweddu’r ddau fynedfa ar wahân, ac mae hynny’n iawn, cyn belled nad yw’r cymhwysiad yn gwneud hynny. Mae’r gwiriadau isod yn perthyn i’r cymhwysiad ac fe ddylent ymddwyn yn union yr un fath waeth pa ddrws y daeth y cais drwyddo.

Yn gyntaf: dim ond deiliad a enwir gan enw’r gwesteiwr

Datryswch enw’r gwesteiwr a ofynnir yn erbyn mapio y mae’r gweinyddwr yn ei gynnal, a gwrthodwch unrhyw beth anhysbys. Defnyddiwch werth gwesteiwr dilysedig y fframwaith yn lle’r pennawd crai, fel na all Host wedi’i greu chwistrellu allwedd chwilio. Mae cyfatebiaeth lwyddiannus yn dweud wrth y cod pa ffurfweddiad deiliad a pha frandio i’w llwytho. Nid yw’n dweud dim am a all y galwr weld data’r deiliad hwnnw. Cadwch yr ail gwestiwn mewn swyddogaeth ar wahân ag mewnbwn ar wahân.

Mae cymorthydd a rennir sy’n dychwelyd cyd-destun a chaniatâd ill dau o un chwiliad enw gwesteiwr yn ddechrau’r nam.

Yn ail: daw aelodaeth o’r sesiwn

Chwiliwch am aelodaethau gweithredol y defnyddiwr dilysedig a’u cymharu â’r deiliad o’r gwiriad cyntaf. Caiff defnyddiwr sy’n perthyn i’r ddau glinig newid, ond dylai’r newid fod yn weithred benodol a gofnodwyd yng nghyd-destun y cais, nid yn gasgliad o’r URL. Gwrthodir defnyddiwr sy’n perthyn i un clinig ac yn gofyn am y llall, gan gynnwys ar gyfer lawrlwythiadau a galwadau API.

Profwch yr achos negyddol drwy olygu dynodydd cofnod a pharamedr deiliad. Os yw’r naill newid neu’r llall yn dychwelyd data, yna darllenir y cwmpas o’r cais yn hytrach nag o’r aelodaeth ddilysedig.

Mae cwmpas cwcis ac un mewngofnod yn penderfynu ble y gellir cyflwyno cyfrif. Nid ydynt yn penderfynu beth y caiff y cyfrif hwnnw ei ddarllen.

Yn drydydd: nid yw’r rhwydwaith yn profi dim am y person

Mae porth VPN yn dilysu twnnel, ac mae rhestr ganiatâd gyhoeddus yn dilysu amrediad cyfeiriadau. Nid yw’r naill na’r llall yn adnabod person. Mae NAT yn rhoi llawer o ddefnyddwyr mewn un cyfeiriad ffynhonnell, ac mae amrediad swyddfa yn gwneud yr un peth i bawb yn yr adeilad. Triniwch y ddau fel ffeithiau cludo a chadwch awdurdodiad yn y cymhwysiad, neu mewn integreiddiad sy’n datgan hunaniaeth yn benodol ac yn cael ei adolygu felly.

Mae DNS yn drydydd ffaith gludo. Mae angen llwybr preifat ar ateb preifat, ac mae angen llwybr tarddiad â chefnogaeth ar flaen cyhoeddus. Nid oes yr un ohonynt yn cario caniatâd.

Un frawddeg i’w chadw ar y wal: mae’r rhwydwaith yn penderfynu sut y daw cais i mewn, a’r cymhwysiad sy’n penderfynu beth y caiff ei ddarllen.

Yn bedwerydd: rhedwch y matrics ar y ddau fynedfa

Defnyddiwch gyfrifon rheoledig i ymarfer A yn A, B yn B, A yn B, enw gwesteiwr anhysbys, a chyfrif dilysedig heb aelodaeth. Dylai’r pedwerydd a’r pumed fethu ar gau, gan beidio byth â disgyn yn ôl i ddeiliad rhagosodedig. Rhedwch yr un matrics drwy fynedfa’r VPN hefyd, gydag un jar sesiwn fesul cyfrif:

curl -s -o /dev/null -w '%{http_code}' -b jar.txt https://clinic-b.example.com/records/42
curl -s -o /dev/null -w '%{http_code}' -b jar.txt https://clinic-a.example.com/records/42

Yna newidiwch gofnod yn y rhestr ganiatâd a rhedwch eto. Mae canlyniad sy’n symud yn golygu bod rheolaeth rwydwaith yn gwneud penderfyniad awdurdodi.

Ailadroddwch y matrics ar ôl unrhyw newid i’r blaen, oherwydd llwybr cod ail sy’n hepgor y gwiriad yw’r ffordd fwyaf cyffredin y mae’r ffin hon yn erydu. Mae’r canlyniad disgwyliedig yn ddiflas: mae pob mynedfa yn cynhyrchu’r un atebion.