Dolenni rhestr caniatáu IP dros dro: beth mae'r caniatâd yn ei dderbyn mewn gwirionedd

Mae troi un clic yn rheol firewall dros dro yn gyfleus, ac mae hefyd yn adeiladu system awdurdodi sy'n penderfynu pwy gaiff gyrraedd gwasanaeth. Cyfeiriad y mae'n ei gyhoeddi, nid person, ac mae'r gwahaniaeth hwnnw'n bwysig yr eiliad y bydd dau berson yn rhannu un NAT. Cwmpaswch y caniatâd, cadarnhewch ef yn fwriadol, a rhowch ystyr i'r dod i ben cyn i'r ddolen gael ei hadeiladu. Y penderfyniad o'ch blaen yw ble i osod y ffin, nid a ddylai un fodoli.

Penderfynwch ba gwestiwn y mae'r caniatâd yn ei ateb

Dechreuwch o'r gofyniad. Os oes rhaid i berson penodol gyrraedd y gwasanaeth ac mae'r cymhwysiad eisoes yn dilysu'r person hwnnw, mae porth dilysedig yn cadw'r hunaniaeth yn y man gorfodi ac nid oes angen derbyn cyfeiriad o gwbl. Os mai'r targed yw asiant adeiladu, porth naid weinyddol neu declyn na all gymryd rhan mewn mewngofnodi defnyddiwr, caniatâd cyfeiriad â chwmpas cyfyngedig efallai'r unig reolaeth ymarferol sydd ar gael.

Mae dewis derbyn cyfeiriad ar gyfer cymhwysiad sy'n wynebu defnyddwyr yn symud y gwir broblem awdurdodi i rywle arall, ac yna mae'r porth yn etifeddu'r bai am fwlch na chaeodd erioed.

Cyfyngwch y cais ar y gweinydd

Ni ddylai'r porwr ddewis y cyrchfan, y porth na'r rhagddodiad. Mae'r porth yn datrys y gwasanaeth o'i gofnodion ei hun ac yn gwirio'r hawl gyda phrawf ar ochr y gweinydd, sef yr un egwyddor y mae canllaw awdurdodi OWASP yn ei chymhwyso i bob cais. Mae deillio'r cyfeiriad yn perthyn i'r ffin warchodedig hefyd: pan fydd dirprwy gwrthdro yn adrodd cyfeiriad y cleient, derbyniwch yn unig y gadwyn ddirprwy a ffurfweddwyd a'i driniaeth ddogfennedig o benawdau. Mae pennawd anfon a ddarperir gan ymwelydd yn honiad am darddiad, nid yn dystiolaeth ohono.

Yna gwiriwch fod y porth a'r gwasanaeth yn gweld yr un ffynhonnell. Gall tiwnelu hollt, naid ddirprwy ac IPv4 yn erbyn IPv6 roi dau gyfeiriad gwahanol i ddwy gyrchfan, felly efallai na fydd caniatâd a weithredwyd o un llwybr yn cwmpasu'r cais sy'n dilyn.

Dangoswch y caniatâd cyn ei osod

Dylai agor dolen ddangos y gwasanaeth a gynigir, y ffynhonnell a arsylwyd a'r hyd, ac na ddylai newid dim eto. Mae'r un cam hwnnw'n troi'r ddolen e-bost o weithred yn gynnig, ac mae'n atal bot rhagolwg neu sganiwr post rhag rhoi mynediad dim ond drwy ei nôl.

Dylai'r cadarnhad fod yn gais sy'n newid cyflwr gyda'r arferol o amddiffyniadau traws-safle a tharddiad. Dylai'r tocyn fod yn un defnydd a chael ei dreulio'n atomaidd ar yr eiliad y gosodir y rheol, a dylai'r cofnod gofnodi'r perchennog, y gwasanaeth, y cyfeiriad, dynodydd y caniatâd a'r dod i ben heb byth logio'r tocyn crai.

Mae danfon y tocyn yn haeddu'r un gofal â'r rheol ei hun. Mae dolen sydd wedi dod i ben neu sydd eisoes wedi'i defnyddio ac sy'n dal i gynhyrchu rheol yn ail ddrws wedi'i osod â'r un allwedd.

Mae'r cyfeiriad yn cael ei rannu hyd yn oed tra bydd y caniatâd yn fyw

Mae NAT swyddfa, NAT cludwr ac allanfa VPN a rennir pob un yn rhoi sawl person y tu ôl i un cyfeiriad. Mae derbyn y cyfeiriad hwnnw'n derbyn pawb y tu ôl iddo — cyn belled ag y mae ffin nesaf y gwasanaeth yn y cwestiwn —, tra nad yw'n profi dim am bwy sy'n dal y cyfrif y mae'r gwasanaeth yn ei ddisgwyl.

Nid yw tynnu'r rheol yn ddatgysylltiad cyffredinol chwaith. Gall cysylltiadau sefydledig, tocynnau cymhwysiad wedi'u cache a sesiynau hirhoedlog oroesi'r rheol o funudau neu'n llawer hirach, felly dylai'r hyd oes a ddewiswch adlewyrchu'r hyn y mae'r gwasanaeth yn ei wneud ar ôl derbyn, nid yn unig pa mor hir y mae'r rheol yn bodoli.

Profwch bedwar achos, a'r ddwy deulu cyfeiriad

Mae caniatâd ond cystal â'r pedwar achos y mae'n eu goroesi: cais newydd a ganiateir, ceisydd heb ei gymeradwyo, ailchwarae o'r un ddolen, a'r un cais ar ôl dod i ben.

Yna profwch bob teulu ar wahân, oherwydd gall y cyfeiriad ffynhonnell y mae'r gwasanaeth yn ei arsylwi fod yn wahanol rhyngddynt.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

Y canlyniad defnyddiol yw penderfyniad derbyn dros dro y gellir ei archwilio o dan awdurdodiad defnyddiwr arferol, yn hytrach nag agoriad parhaol sy'n cario enw'r sawl a gliciodd gyntaf.