Luk den midlertidige forhåndsvisning, før den bliver permanent

En gennemgangsperson, der ikke kan komme på VPN, har brug for et link til en eftermiddag, og inden aftenen har produktionstjenesten et offentligt værtsnavn, som ingen husker at have godkendt. Anmodningen var lille; ændringen var ikke. En midlertidig forhåndsvisning er en ny adgangsvej med et publikum, et dataomfang og et sluttidspunkt. Behandl den som enhver anden indgang, for ordet midlertidig lukker intet.

Midlertidig er en varighed, ikke en kontrol

Ordet midlertidig beskriver, hvor længe noget bør findes, ikke hvad der begrænser det, mens det findes. Et offentligt værtsnavn uden udløb er permanent i det øjeblik, personen der oprettede det, skifter team.

Før noget eksponeres, bør tjenesteejeren og sikkerhedsejeren godkende tre ting: publikummet, dataene og varigheden.

Et eksisterende gæste-VPN- eller gennemgangsmiljø er ofte enklere end at offentliggøre produktionstjenesten. Det har allerede en ejer, en godkendelsesvej og en fjernelsesproces. At bygge en ny undtagelse til en eftermiddag er måden, hvorpå en lille anmodning bliver et permanent aktiv. Begynd med at spørge, om gennemgangen kan foregå inde i noget, der allerede findes.

Udgiv én operation, aldrig et subnet

Vælg den mindste indgang, der stadig understøtter gennemgangen. Foretræk en kopi i et testmiljø med passende data frem for produktion, og en godkendt frontend, der når ét privat ophav frem for enhver subnetrute.

En relay med VPN-adgang behøver ikke udgive et helt privat subnet og bør absolut ikke udgive gatewayens administrationsgrænseflade.

Navngiv de konti, der må komme igennem, og de handlinger, de må udføre. Begrænsning efter kilde-IP indsnævrer ganske vist, hvem der kan forbinde. Det identificerer ikke en person, for offentlige adresser deles, og de ændrer sig.

Behold applikationens egen autorisation eller en udtrykkeligt betroet identitetsbevidst indgang. Beskyt downloads, API'er og administrative stier, ikke kun landingssiden. En frontend, der terminerer TLS, bliver et betroet endepunkt, og en privat rute bag den gør ikke en offentlig besøgende til VPN-medlem. Test de udelukkede stier lige så omhyggeligt som landingssiden.

Identitet i frontend, ikke i kildeadressen

Regler for kilde-IP er nyttige til at indsnævre eksponering og ubrugelige til at bevise, hvem en gennemgangsperson er. Hjemmeforbindelser ændrer sig, mobilnetværk deler adresser, og en kollega kan være bag den samme NAT.

En identitetsbevidst proxy eller applikationens eget login giver dig en beslutning pr. person. Det er det, der gør tilbagekaldelse mulig senere, for du kan fjerne én identitet uden at ændre netværket.

Hold certifikatvalidering slået til, og bloker direkte adgang til ophavet. Hvis ophavet stadig kan nås fra internettet, er frontend kun dekoration.

Tilbagekald rettigheden og ruten

Registrer en ejer og en præcis udløbsdato i det driftssystem, der allerede sporer adgang. Brug tidsbegrænset adgang eller planlagt fjernelse, hvor platformen understøtter det, og tilføj et tjek, hvis automatiseringen fejler.

Ved den aftalte afslutning nedlægges den midlertidige frontend, ruttilladelsen og gennemgangspersonens rettighed via deres ejere. Eksisterende sessioner og langvarige forbindelser kræver deres egen behandling, for en fjernet rute afslutter dem ikke.

En kort DNS TTL er ikke adgangsudløb. Den ændrer, hvor længe en resolver beholder svaret. Den deaktiverer ikke en konto, afbryder ikke en levende session og lukker ikke en port, der stadig lytter.

Cachede kopier er en del af det samme problem. At tage ophavsstien ned henter ikke en fil tilbage, som nogen allerede har gemt, og en delt cache kan servere kopier, efter at relayen er væk. Vælg svar- og lagringspolitik, før gennemgangen begynder.

Kontroller, at den gamle vej virkelig er væk

Accept er en ny anmodning, der fejler, plus det normale VPN-arbejdsforløb stadig fungerer. Test begge, for en fjernelse, der ødelægger den almindelige vej, er ikke en ren fjernelse.

Bekræft udefra netværket, at både navnet og ophavet er lukket:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Hold en smal revisionslog over, hvad der blev godkendt, hvem der kunne nå det, og hvornår det blev fjernet. Den log er forskellen mellem en kontrolleret undtagelse og et uforklaret værtsnavn. En midlertidig forhåndsvisning lykkes, når den leverer den ønskede gennemgang og derefter holder op med at levere den. At URL'en forsvinder fra en chatbesked er ikke den test.