Slút de tydlike foarbyldwerjefte foar't dy permanint wurdt

In beoardieler dy't net by de VPN komme kin, hat in keppeling nedich foar ien middei, en tsjin 'e jûn hat de produksjetsjinst in iepenbier hostnamme dat nimmen him betinkt dat er it goedkard hat. It fersyk wie lyts; de feroaring net. In tydlike foarbyldwerjefte is in nije tagongswei mei in publyk, in dataspektrum en in einstiid. Behannelje it as elke oare tagong, want it wurd tydlik slút neat.

Tydlik is in doer, gjin kontrôle

It wurd tydlik beskriuwt hoe lang oft iets bestean moatte soe, net wat it beheint wylst it bestiet. In iepenbier hostnamme sûnder ferfal is permanint op it stuit dat de persoan dy't it makke hat fan team feroaret.

Foar't eat bleatsteld wurdt, moatte de tsjinst-eigner en de feilichheids-eigner trije dingen goedkarre: it publyk, de data en de doer.

In besteande gast-VPN- of beoardielingsomjouwing is faak ienfâldiger as it publisearjen fan de produksjetsjinst. It hat al in eigner, in goedkarringswei en in fuorthelproses. In nije útsûndering bouwe foar ien middei is hoe't in lyts fersyk in permanint besit wurdt. Begjin mei de fraach oft de beoardieling barre kin binnen eat dat al bestiet.

Publisearje ien operaasje, nea in subnet

Kies de lytste tagong dy't de beoardieling noch stipet. Foarkar in testkopie mei geskikte data boppe produksje, en in autentisearre frontend dy't ien privee oarsprong berikt boppe hokker subnetrûte dan ek.

In relais mei VPN-berikberens hoecht net in hiel privee subnet te publisearjen, en soe perfoarst net de admin-ynterface fan 'e gateway publisearje moatte.

Neam de akkounts dy't trochlitten wurde en de aksjes dy't se dwaan meie. Beheining op boarne-IP ferjout wol wa't ferbine kin. It identifisearret gjin persoan, want iepenbiere adressen wurde dield en se feroarje.

Hâld de eigen autorisaasje fan 'e applikaasje of in eksplisyt fertroude tagong dy't identiteit ken. Beskermje downloads, API's en bestjoerlike paden, net allinnich de lâningsside. In frontend dy't TLS beëiniget wurdt in fertrou berikpunt, en in privee rûte dêrefter makket fan in iepenbier besiker gjin VPN-lid. Test de útsletten paden like soarchfâldich as de lâningsside.

Identiteit by de frontend, net by it boarne-adres

Boarne-IP-regels binne nuttich om bleatstelling te ferfinen en nutteloas om te bewizen wa't in beoardieler is. Hûsferbiningen feroarje, mobile netwurken diele adressen en in kollega kin efter deselde NAT sitte.

In identiteitsbewuste proxy of de eigen oanmelding fan 'e applikaasje jout jo in beslút per persoan. Dat makket it ynlûken letter mooglik, want jo kinne ien identiteit fuorthelje sûnder it netwurk te feroarjen.

Hâld sertifikaatfalidaasje oan en blokkearje direkte tagong ta de oarsprong. As de oarsprong noch fan it internet berikber is, is de frontend allinnich dekoraasje.

Lûk de rjochten en de rûte yn

Registrearje in eigner en in krekte ferfalstiid yn it operasjonele systeem dat al tagong folget. Brûk tiidbeheinde tagong of plande fuortheljen wêr't it platfoarm dat stipet, en foegje in kontrôle ta foar it gefal dat de automatisearring mislearret.

Op it ôfsprutsen ein wurde de tydlike frontend, de rûtetastimming en de rjochten fan 'e beoardieler troch har eigners opheft. Besteande sesjes en langduorjende ferbiningen hawwe eigen behanneling nedich, want in fuorthelle rûte einiget se net.

In koarte DNS TTL is gjin tagongsferfal. It feroaret hoe lang't in resolver it antwurd hâldt. It skeakeltet gjin akkount út, snijt gjin libbene sesje ôf en slút gjin poarte dy't noch harket.

Cache-kopyen binne diel fan itselde probleem. It fuortheljen fan it oarsprongspaad hellet gjin bestân werom dat immen al bewarre hat, en in dielde cache kin kopyen leverje nei't it relais fuort is. Kies antwurd- en opslachbelied foar't de beoardieling begjint.

Kontrolearje dat it âlde paad echt fuort is

Akseptaasje is in nij fersyk dat mislearret, plus de normale VPN-wurkstream dy't noch wurket. Test beide, want in fuortheljen dat it gewoane paad brekt is gjin skjin fuortheljen.

Befêstigje fan bûten it netwurk dat de namme en de oarsprong beide sletten binne:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Hâld in smel auditregister by fan wat goedkard is, wa't it berikke koe en wannear't it fuorthelle is. Dat register is it ferskil tusken in kontrolearre útsûndering en in ûnferklearre hostnamme. In tydlike foarbyldwerjefte slagget as se de frege beoardieling leveret en dan ophâldt mei it leverjen. It ferdwinen fan 'e URL út in chatberjocht is net dy test.