IP-baimen zerrenden behin-behineko estekek: zer onartzen duen baimenak benetan

Klik bakarra suebaki-arau bihurtzea erosoa da, eta, aldi berean, zerbitzu batera nor irits daitekeen erabakitzen duen baimen-sistema bat eraikitzen du. Helbide bat ematen du, ez pertsona bat, eta desberdintasun horrek garrantzia du bi pertsonek NAT bat partekatzen duten unean. Mugatu baimenaren irismena, berretsi berariaz eta eman iraungitzeari esanahia esteka eraiki aurretik. Aurrean duzun erabakia muga non jarri da, ez ea muga bat egon behar den.

Erabaki zein galderari erantzuten dion baimenak

Hasi baldintzatik. Pertsona jakin batek zerbitzura iritsi behar badu eta aplikazioak dagoeneko pertsona hori autentifikatzen badu, autentifikatutako atebide batek identitatea betearazpen-puntuan mantentzen du eta ez du inolako helbide-onarpenik behar. Helburua eraikuntza-agente bat, administrazio-jauzi ataka bat edo erabiltzailearen saio-hasieran parte hartu ezin duen gailu bat bada, irismen mugatuko helbide-baimena izan daiteke eskuragarri dagoen kontrol praktiko bakarra.

Erabiltzaileei begirako aplikazio baterako helbide-onarpena aukeratzeak benetako baimen-arazoa beste toki batera eramaten du, eta orduan atariak inoiz itxi ez zuen hutsune baten errua heredatzen du.

Mugatu eskaera zerbitzarian

Nabigatzaileak ezin du helmuga, ataka edo aurrizkia aukeratu. Atariak bere erregistroetatik ebazten du zerbitzua eta eskubidea zerbitzariaren aldeko proba batekin egiaztatzen du, hau da, OWASPren baimen-gidak eskaera bakoitzari aplikatzen dion printzipio bera. Helbidearen eratorpena ere babestutako mugan dago: alderantzizko proxy batek bezeroaren helbidea jakinarazten duenean, onartu konfiguratutako proxy-katea eta haren goiburu-tratamendu dokumentatua soilik. Bisitari batek emandako birbideratze-goiburua jatorriari buruzko baieztapena da, ez haren froga.

Ondoren egiaztatu atariak eta zerbitzuak iturri bera ikusten dutela. Tunel zatituak, proxy-jauzi batek eta IPv4 eta IPv6ren arteko desberdintasunak bi helmugari bi helbide desberdin eman diezazkieke, beraz, bide batetik aktibatutako baimenak agian ez du ondorengo eskaera estaliko.

Erakutsi baimena instalatu aurretik

Esteka bat irekitzeak proposatutako zerbitzua, ikusitako iturria eta iraupena erakutsi beharko lituzke, eta oraindik ezer aldatu ez. Urrats bakar horrek postaz jasotako esteka ekintzatik proposamen bihurtzen du, eta aurrebista-bot batek edo posta-eskaneatzaile batek esteka jaisteagatik soilik sarbidea ematea eragozten du.

Berrespena egoera aldatzen duen eskaera bat izan beharko litzateke, guneen arteko eta jatorriaren aurkako ohiko defentsekin. Tokena erabilera bakarrekoa izan beharko litzateke eta araua instalatzen den unean atomikoki kontsumitu, eta erregistroak jabea, zerbitzua, helbidea, baimenaren identifikatzailea eta iraungitzea jaso beharko lituzke, token gordina inoiz erregistratu gabe.

Tokena entregatzeak arauak berak adina arreta merezi du. Iraungitako edo jadanik kontsumitutako esteka batek oraindik arau bat sortzen badu, giltza berarekin muntatutako bigarren ate bat da.

Helbidea partekatuta dago baimena bizirik dagoen bitartean ere

Bulegoko NAT batek, operadorearen NAT batek eta VPN irteera partekatu batek hainbat pertsona jartzen ditu helbide baten atzean. Helbide hori onartzeak haren atzean dauden guztiak onartzen ditu —zerbitzuaren hurrengo muga den heinean—, baina ezer ez du frogatzen zerbitzuak espero duen kontua nork duen.

Araua kentzea ez da deskonexio unibertsala ere. Ezarritako konexioek, cachean gordetako aplikazio-tokenek eta iraupen luzeko saioek araua minutu batzuez edo askoz gehiagoz gaindi dezakete, beraz, aukeratzen duzun bizitzak zerbitzuak onarpenaren ondoren egiten duena islatu beharko luke, ez arauak zenbat irauten duen soilik.

Probatu lau kasu, eta bi helbide-familia

Baimen bat bizirik ateratzen dituen lau kasuek adina balio du: eskaera berri baimendu bat, onartu gabeko eskatzaile bat, esteka beraren errepikapen bat eta iraungitzearen ondorengo eskaera bera.

Ondoren probatu familia bakoitza bereiz, zerbitzuak ikusten duen iturri-helbidea desberdina izan baitaiteke haien artean.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

Emaitza erabilgarria erabiltzaile-baimen arruntaren azpian dagoen onarpen-erabaki behin-behineko eta ikuskaragarria da, lehenengo klik egin zuenaren izena daraman irekiera iraunkorraren ordez.