VPNaren atzeko SaaS administrazio eremua: zein helbidetan fidatu?

SaaS orri publikoak denentzat irekita egon daitezke, bitartean atzean dauden administrazio eragiketek VPNetik kanpo dagoen edonor ukatzen dute. Hori posible egiten duen mekanismoa ez da menu ezkutu bat edo aparteko saio-hasiera orria; eskaera entregatu zuen sare-bidearen egiaztapena da. Helbidearen froga gaizki egiten baduzu, egiaztapenak edo benetako administratzaileak kanpoan uzten ditu edo goiburu bat idazten dakien edonor onartzen du. Hasi jatorriak benetan jasotzen duenarekin.

Jatorriak tunelaren ondoren benetan jasotzen duena

Nabigatzaileak sare publikora iristen denean internet trafikoa ere eramaten duen VPN baten bidez, atebideak konexioa itzultzen du irten aurretik. SaaSak atebidearen irteera helbide publikoa ikusten du, normalean helbide bat edo barruti txiki bat, eta inoiz ez du eramangailuaren tunel helbidea ikusten. Horregatik huts egiten du 10.90.0.42 onartuen zerrendan jartzeak, eta horregatik huts egiten du are ozenago RFC 1918 osoa jartzeak: bigarrenak zu irits zaitzaketen sare pribatu guztiak onartzen ditu. Baldintza bat merezi duen helbide bakarra zure erakundeak irteeran benetan duena da.

curl -s https://ifconfig.me
dig +short admin.example.com

Tunel zatituak isil-isilik hausten du suposizio hori. VPNak bulegoko ibilbide pribatuak baino eramaten ez baditu, administrazio ostalari-izen publikorako eskaera tokiko hornitzailearen bidez irteten da eta jatorriak bizileku helbidea ikusten du. Konektatutako VPN ikono batek ez du ezer frogatzen helmuga zehatz honi buruz, beraz proba ezazu helmuga, ez tunela.

Gelditu eta konpondu bideratzea edozein politika idatzi aurretik, irteera helbidea erabiltzailearen arabera aldatzen bada. Administratzaile batzuekin soilik bat datorren baldintza baldintzarik eza baino okerragoa da, arazoa gertaera bat arte ezkutatzen baitu.

Helbidea berridazten duen proxyan soilik fidatu

Webgune publiko gehienak CDN edo alderantzizko proxy baten atzean daude, beraz jatorriaren socket helbidea interfaze horrena da, ez bisitariarena. Interfazeak normalean jatorrizko helbidea goiburu batean birbidaltzen du, eta goiburu hori erasotzaileak kontrolatzen du, jatorriak proxy ezagunetatik soilik onartzen ez badu. Konfiguratu fidagarri diren iturrien zerrenda esplizituki eta egin jatorria beste edozein lekutatik iristezina. Bigarren erdi hori gabe, erasotzaileak proxya saltatzen du eta goiburua zuzenean bidaltzen du.

set_real_ip_from 192.0.2.0/24;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
curl -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin

Arrazoi bera aplikatzen zaio PROXY protokoloari: entzulea proxyak irits dezakeen eta beste inork irits ezin duen interfaze batera lotuta dagoenean soilik da fidagarria. Helbide-testuinguruak falta badira, egiaztapen babestuak huts egin behar du, ez lehenetsitako baimenera erori. Falta den goiburu bat ez da bide fidagarriaren froga.

Lotu baldintza eragiketa babestu bakoitzari

Ezarri egiaztapena eragiketa babestu bakoitzak zeharkatzen duen baimen-mugan, ez menua errendatzen duen orrian. Ibilbide-taldeak, middlewarea edo politika-geruza batek denek funtzionatzen dute; kudeatzaile bakoitzeko kopia batek ez, hurrengo hiruhilekoan norbaitek gehitzen duen kudeatzaileak ez baitu izango.

user = requireAuthenticatedSession()
requirePermission(user, "admin")
requireVpnEgress(verifiedClientAddress(request))
performProtectedOperation(user, request)

Muga berak JSON APIa, esportazioak, sinatutako deskarga URLak eta WebSocket esku-ukipena ere estali behar ditu, haietako batek ere ez baitu HTML orria lehenago eskatzea behar. VPNa martxan zegoela sortutako deskarga-esteka baliozkoa izaten jarraitzen du geroago, deskarga amaierako puntuak berriro egiaztatzen ez badu. Saio luzeek berrikuspen-araua ere behar dute, bestela autentifikatutako eskaera bat betiko salbuespen bihurtzen da. Lehenetsitako ukapena da langileen txandakatzeak gainditzen dituen ezarpen bakarra.

Cache partekatuak egiaztapenaren beste ingurabidea dira. Babestutako erantzun bat dagoeneko duen cache batek jatorriari kontaktatu gabe eman dezake, beraz markatu administrazio erantzunak pribatu gisa eta eduki itzazu biltegiratze partekatutik kanpo. Cache batek eman behar baditu, sarbide-egiaztapena eman aurretik exekutatu behar da, eta horrek normalean esan nahi du ezin dela cache partekatua izan.

Probatu oraintxe itxi dituzun saihesbideak

Landu matrizea, ez bide zoriontsua: administratzaile bat VPNaren bidez, administratzaile bera hura gabe, administratzaile ez den bat haren bidez, eta helbide-goiburu faltsutu bat. Gehitu jatorrira zuzenean doan eskaera bat eta cachean gordetako erantzuna duen eskaera bat, horiek biak ez baitira aurrealdea erabat saltatzen dutenak.

curl -sI https://admin.example.com/export.csv
curl -s -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin
curl -s https://admin.example.com/api/me -o /dev/null -w '%{http_code}\n'

Eskaera bakoitzak politikak agintzen duen egoera itzuli behar du, eta erregistroak erabili den helbide-froga zein izan den jaso behar du. Estali IPv6 bereizita, pile bikoitzeko jatorri batek probatu duzunaren familia desberdina ikus baitezake. Eduki itzazu bezero-eragiketa arruntak VPNtik kanpo funtzionatzen, bestela aldaketa atzera botako da bezero batek lehen aldiz kexatzen denean. Idatzi errenkada bakoitzaren espero den emaitza exekutatu aurretik, ustekabeko arrakasta ikusgai egon dadin.

Irteera helbideak baimendutako sare-bidea frogatzen du, ez pertsona bat eta ez kudeatutako gailu bat. Eduki ezazu baldintza gisa autentifikazioaren eta baimenaren ondoan, eta administrazio eremua estu mantentzen da produktu osoa VPN soilik den zerbitzu bihurtu gabe. Bereizketa hori diseinua da, ez haren muga.