Sulgege ajutine eelvaade, enne kui sellest saab püsiv

Ülevaataja, kes ei saa VPN-iga liituda, vajab linki üheks pärastlõunaks, ja õhtuks on tootmisteenusel avalik hostinimi, mille kinnitamist keegi ei mäleta. Taotlus oli väike; muudatus ei olnud. Ajutine eelvaade on uus juurdepääsutee, millel on publik, andmete ulatus ja lõpuaeg. Käsitlege seda nagu iga teist sissepääsu, sest sõna ajutine ei sulge midagi.

Ajutine on kestus, mitte kontroll

Sõna ajutine kirjeldab, kui kaua peaks miski eksisteerima, mitte seda, mis piirab seda selle eksisteerimise ajal. Avalik hostinimi ilma aegumiseta on püsiv hetkel, mil selle loonud inimene vahetab meeskonda.

Enne kui midagi paljastatakse, peaksid teenuse omanik ja turbeomanik kinnitama kolm asja: publik, andmed ja kestus.

Olemasolev külalis-VPN-i või ülevaatuse keskkond on sageli lihtsam kui tootmisteenuse avaldamine. Sellel on juba omanik, kinnitamise tee ja eemaldamise protsess. Uue erandi ehitamine üheks pärastlõunaks on viis, kuidas väikesest taotlusest saab püsiv vara. Alustage küsimusest, kas ülevaatus saab toimuda millegi sees, mis juba olemas on.

Avaldage üks toiming, mitte kunagi alammark

Valige väikseim sissepääs, mis ülevaatust veel toetab. Eelistage sobivate andmetega testkoopiat tootmise asemel ja autenditud esiosa, mis jõuab ühe privaatse allikani mis tahes alammargi tee asemel.

VPN-i jõudlusega relee ei pea avaldama tervet privaatset alammarki ja kindlasti ei tohiks avaldada lüüsi haldusliidest.

Nimetage kontod, millel on lubatud läbi pääseda, ja toimingud, mida nad tohivad teha. Lähteaadressi IP järgi piiramine kitsendab tõesti, kes saab ühenduda. See ei tuvasta inimest, sest avalikke aadresse jagatakse ja need muutuvad.

Hoidke rakenduse enda autoriseerimist või selgelt usaldusväärset identiteeti arvestavat sissepääsu. Kaitske allalaadimisi, API-sid ja haldusteid, mitte ainult maandumislehte. TLS-i lõpetav esiosa muutub usaldusväärseks lõpp-punktiks ja selle taga olev privaatne tee ei tee avalikust külastajast VPN-i liiget. Testige välistatud teid sama hoolikalt kui maandumislehte.

Identiteet esiosas, mitte lähteaadressis

Lähteaadressi IP reeglid on kasulikud kokkupuute kitsendamiseks ja kasutud tõestamaks, kes on ülevaataja. Kodused ühendused muutuvad, mobiilivõrgud jagavad aadresse ja kolleeg võib olla sama NAT-i taga.

Identiteeti arvestav puhverserver või rakenduse enda sisselogimine annab teile otsuse iga inimese kohta. Just see teeb tühistamise hiljem võimalikuks, sest saate ühe identiteedi eemaldada ilma võrku muutmata.

Hoidke sertifikaadi valideerimine sisse lülitatud ja blokeerige otsene juurdepääs allikale. Kui allikas on endiselt internetist kättesaadav, on esiosa vaid dekoratsioon.

Tühistage õigus ja tee

Registreerige omanik ja täpne aegumine operatsioonisüsteemis, mis juba juurdepääsu jälgib. Kasutage ajaliselt piiratud juurdepääsu või planeeritud eemaldamist seal, kus platvorm seda toetab, ja lisage kontroll, kui automatiseerimine peaks ebaõnnestuma.

Kokkulepitud lõpus lõpetage ajutine esiosa, tee luba ja ülevaataja õigus nende omanike kaudu. Olemasolevad seansid ja pikaajalised ühendused vajavad eraldi käsitlust, sest eemaldatud tee ei lõpeta neid.

Lühike DNS TTL ei ole juurdepääsu aegumine. See muudab, kui kaua resoluutija vastust hoiab. See ei deaktiveeri kontot, ei katkesta elavat seanssi ega sulge porti, mis veel kuulab.

Vahemällu salvestatud koopiad on osa samast probleemist. Allika tee maha võtmine ei too tagasi faili, mille keegi on juba salvestanud, ja jagatud vahemälu võib koopiaid pakkuda pärast seda, kui relee on kadunud. Valige vastuse- ja salvestuspoliitika enne ülevaatuse algust.

Kontrollige, et vana tee on tõesti kadunud

Vastuvõtt on uus taotlus, mis ebaõnnestub, pluss tavaline VPN-i töövoog mis veel töötab. Testige mõlemat, sest eemaldamine, mis rikub tavalise tee, ei ole puhas eemaldamine.

Väljastpoolt võrku kinnitage, et nimi ja allikas on mõlemad suletud:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Pidage kitsast auditikirjet selle kohta, mis kinnitati, kes sellele jõuda sai ja millal see eemaldati. See kirje on erinevus kontrollitud erandi ja seletamata hostinime vahel. Ajutine eelvaade õnnestub siis, kui see pakub soovitud ülevaatust ja lõpetab seejärel selle pakkumise. URL-i kadumine vestlussõnumist ei ole see test.