Κλείστε την προσωρινή προεπισκόπηση πριν γίνει μόνιμη

Ένας αναθεωρητής που δεν μπορεί να συνδεθεί στο VPN χρειάζεται έναν σύνδεσμο για ένα απόγευμα, και μέχρι το βράδυ η υπηρεσία παραγωγής έχει ένα δημόσιο όνομα κεντρικού υπολογιστή που κανείς δεν θυμάται να ενέκρινε. Το αίτημα ήταν μικρό· η αλλαγή δεν ήταν. Μια προσωρινή προεπισκόπηση είναι μια νέα διαδρομή πρόσβασης με κοινό, εύρος δεδομένων και χρόνο λήξης. Αντιμετωπίστε την όπως κάθε άλλη είσοδο, γιατί η λέξη προσωρινό δεν κλείνει τίποτα.

Το προσωρινό είναι διάρκεια, όχι έλεγχος

Η λέξη προσωρινό περιγράφει πόσο καιρό πρέπει να υπάρχει κάτι, όχι τι το περιορίζει όσο υπάρχει. Ένα δημόσιο όνομα κεντρικού υπολογιστή χωρίς λήξη είναι μόνιμο τη στιγμή που το άτομο που το δημιούργησε αλλάζει ομάδα.

Πριν εκτεθεί οτιδήποτε, ο ιδιοκτήτης της υπηρεσίας και ο ιδιοκτήτης της ασφάλειας θα πρέπει να εγκρίνουν τρία πράγματα: το κοινό, τα δεδομένα και τη διάρκεια.

Ένα υπάρχον περιβάλλον φιλοξενούμενου VPN ή ανασκόπησης είναι συχνά απλούστερο από τη δημοσίευση της υπηρεσίας παραγωγής. Έχει ήδη ιδιοκτήτη, διαδρομή έγκρισης και διαδικασία αφαίρεσης. Το να χτίσεις μια νέα εξαίρεση για ένα απόγευμα είναι ο τρόπος με τον οποίο ένα μικρό αίτημα γίνεται μόνιμο περιουσιακό στοιχείο. Ξεκινήστε ρωτώντας αν η ανασκόπηση μπορεί να γίνει μέσα σε κάτι που υπάρχει ήδη.

Δημοσιεύστε μία λειτουργία, ποτέ ένα υποδίκτυο

Επιλέξτε τη μικρότερη είσοδο που εξακολουθεί να υποστηρίζει την ανασκόπηση. Προτιμήστε ένα αντίγραφο δοκιμής με κατάλληλα δεδομένα αντί για παραγωγή, και ένα πιστοποιημένο frontend που φτάνει σε μία ιδιωτική προέλευση αντί για οποιαδήποτε διαδρομή υποδικτύου.

Ένα relay με προσβασιμότητα VPN δεν χρειάζεται να δημοσιεύσει ολόκληρο ιδιωτικό υποδίκτυο, και σίγουρα δεν πρέπει να δημοσιεύσει τη διεπαφή διαχείρισης της πύλης.

Ονομάστε τους λογαριασμούς που επιτρέπεται να περάσουν και τις ενέργειες που μπορούν να κάνουν. Ο περιορισμός με βάση τη διεύθυνση IP προέλευσης στενεύει πράγματι ποιος μπορεί να συνδεθεί. Δεν ταυτοποιεί όμως πρόσωπο, γιατί οι δημόσιες διευθύνσεις μοιράζονται και αλλάζουν.

Κρατήστε την εξουσιοδότηση της ίδιας της εφαρμογής ή μια ρητά έμπιστη είσοδο που γνωρίζει ταυτότητα. Προστατέψτε τις λήψεις, τα API και τις διαχειριστικές διαδρομές, όχι μόνο τη σελίδα προορισμού. Ένα frontend που τερματίζει TLS γίνεται έμπιστο τελικό σημείο, και μια ιδιωτική διαδρομή πίσω του δεν μετατρέπει έναν δημόσιο επισκέπτη σε μέλος του VPN. Δοκιμάστε τις εξαιρούμενες διαδρομές με την ίδια προσοχή όπως τη σελίδα προορισμού.

Ταυτότητα στο frontend, όχι στη διεύθυνση προέλευσης

Οι κανόνες IP προέλευσης είναι χρήσιμοι για να στενέψουν την έκθεση και άχρηστοι για να αποδείξουν ποιος είναι ένας αναθεωρητής. Οι οικιακές συνδέσεις αλλάζουν, τα δίκτυα κινητής μοιράζονται διευθύνσεις και ένας συνάδελφος μπορεί να βρίσκεται πίσω από το ίδιο NAT.

Ένα proxy που γνωρίζει ταυτότητα ή η σύνδεση της ίδιας της εφαρμογής σάς δίνει απόφαση ανά πρόσωπο. Αυτό κάνει δυνατή την ανάκληση αργότερα, γιατί μπορείτε να αφαιρέσετε μία ταυτότητα χωρίς να αλλάξετε το δίκτυο.

Κρατήστε ενεργή την επικύρωση πιστοποιητικών και μπλοκάρετε την άμεση πρόσβαση στην προέλευση. Αν η προέλευση είναι ακόμη προσβάσιμη από το διαδίκτυο, το frontend είναι διακόσμηση.

Ανακαλέστε το δικαίωμα και τη διαδρομή

Καταγράψτε ιδιοκτήτη και ακριβή λήξη στο λειτουργικό σύστημα που ήδη παρακολουθεί την πρόσβαση. Χρησιμοποιήστε πρόσβαση περιορισμένου χρόνου ή προγραμματισμένη αφαίρεση όπου η πλατφόρμα το υποστηρίζει, και προσθέστε έλεγχο σε περίπτωση που αποτύχει η αυτοματοποίηση.

Στο συμφωνημένο τέλος, αποσύρετε το προσωρινό frontend, την άδεια διαδρομής και το δικαίωμα του αναθεωρητή μέσω των ιδιοκτητών τους. Οι υπάρχουσες συνεδρίες και οι μακροχρόνιες συνδέσεις χρειάζονται δική τους μεταχείριση, γιατί μια διαγραμμένη διαδρομή δεν τις τερματίζει.

Ένα σύντομο DNS TTL δεν είναι λήξη πρόσβασης. Αλλάζει πόσο καιρό ο resolver κρατά την απάντηση. Δεν απενεργοποιεί λογαριασμό, δεν κόβει ζωντανή συνεδρία και δεν κλείνει θύρα που ακόμη ακούει.

Τα αποθηκευμένα αντίγραφα είναι μέρος του ίδιου προβλήματος. Το κατέβασμα της διαδρομής προέλευσης δεν ανακτά αρχείο που κάποιος έχει ήδη σώσει, και μια κοινόχρηστη κρυφή μνήμη μπορεί να σερβίρει αντίγραφα αφού φύγει το relay. Επιλέξτε πολιτική απάντησης και αποθήκευσης πριν αρχίσει η ανασκόπηση.

Ελέγξτε ότι η παλιά διαδρομή έχει πραγματικά φύγει

Η αποδοχή είναι ένα νέο αίτημα που αποτυγχάνει, συν η συνήθης ροή εργασίας του VPN που ακόμη λειτουργεί. Δοκιμάστε και τα δύο, γιατί μια αφαίρεση που σπάει τη συνηθισμένη διαδρομή δεν είναι καθαρή αφαίρεση.

Από έξω από το δίκτυο, επιβεβαιώστε ότι το όνομα και η προέλευση είναι και τα δύο κλειστά:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Κρατήστε ένα στενό αρχείο ελέγχου για το τι εγκρίθηκε, ποιος μπορούσε να το φτάσει και πότε αφαιρέθηκε. Αυτό το αρχείο είναι η διαφορά ανάμεσα σε μια ελεγχόμενη εξαίρεση και ένα ανεξήγητο όνομα κεντρικού υπολογιστή. Μια προσωρινή προεπισκόπηση πετυχαίνει όταν παρέχει την ανασκόπηση που ζητήθηκε και μετά σταματά να την παρέχει. Η εξαφάνιση του URL από ένα μήνυμα συνομιλίας δεν είναι αυτή η δοκιμή.