Cad is féidir le geata gréasáin atá curtha i mbaol a shroicheadh fós?
Cuireann geata gréasáin teorainn leis an méid a osclaíonn cuairteoir, ní leis an méid a shroicheann óstach atá curtha i mbaol. Dhá athbhreithniú, tábla údaráis agus orduithe chun an t-aimsiú a thomhas.
Cuir i gcás go bhfuil óstach an gheata curtha i mbaol agus a dheimhniú fós bailí. Fanann gach riail a rialaigh cé na leathanaigh is féidir le cuairteoir a iarraidh i bhfeidhm, agus ní chuireann aon cheann de na rialacha sin srian ar an nasc a osclaíonn an t-ionsaitheoir anois ón óstach sin i dtreo fhoshraith an bhunachair sonraí. Is é an bhearna sin an fáth nach ionann pointe iontrála gréasáin amháin agus líonra deighilte. Teastaíonn athbhreithnithe ar leithligh ón dá éileamh, ó phointí tosaigh éagsúla, sula féidir ceachtar acu a dhéanamh go hionraic.
Dhá éileamh, agus ní thosaíonn ach ceann acu ag an gcuairteoir
Baineann an chéad éileamh le duine: is féidir le cuairteoir a bhfuil brabhsálaí agus seisiún bailí aige aon fheidhmchlár amháin a oscailt agus rud ar bith eile. Freagraíonn pointe iontrála gréasáin amháin an t-éileamh sin go maith, mar faigheann an cuairteoir leathanach seachas bealach. Is fiú an freagra sin a bheith ann, agus is é an t-aon éileamh é freisin a thaifeadann formhór na léaráidí.
Baineann an dara héileamh le comhpháirt: glactar leis go bhfuil an geata, nó an próiseas feidhmchláir taobh thiar de, faoi smacht duine eile. Ón mbonn tuisceana sin athraíonn an cheist ó na URLanna a cheadaítear go dtí na cinn scríbe agus na féiniúlachtaí ar féidir leis an bpróiseas iad a shroicheadh fós.
Tá úinéirí éagsúla ag an dá éileamh, táirgeann siad fianaise éagsúil, agus teipeann siad go neamhspleách. Is féidir le foireann féiniúlachta an chéad cheann a thaispeáint le tástáil seisiúin; teastaíonn polasaí líonra, athbhreithniú cuntais seirbhíse agus rialuithe óstaigh don dara ceann. Breathnaíonn dearadh nach dtaifeadann ach leath an chuairteora go hiomlán ar shleamhnán athbhreithnithe agus go tanaí le linn eachtra, mar ní raibh na rialuithe a bhfuil tábhacht leo tar éis comhréitigh riamh sa scóip. Ainmnigh cén t-éileamh a thacaíonn gach riail, nó cuirfear riail gheata amháin chun sochair an dá cheann.
Seirbhís chostais oibrithe, agus an dá bhealach a chailleann sí
Tóg seirbhís chostais: déanann geata poiblí ag 10.60.4.10 fíordheimhniú ar an bhfoireann agus seolann sé iarratais cheadaithe chuig éisteoir feidhmchláir ar phort 8443, agus sroicheann an feidhmchlár sin éisteoir PostgreSQL amháin ag 10.60.4.20:5432 mar an ról expenses_app. Níl sé i gceist go bhfaigheadh fostaithe rochtain inmheánach ghinearálta. I ngnáthoibriú soláthraíonn an dearadh iontráil a bhaineann go sonrach leis an bhfeidhmchlár gan an t-éisteoir bunachair sonraí a fhoilsiú áit ar bith. Tá tábhacht leis na seoltaí, mar ainmníonn gach seiceáil níos déanaí san alt seo iad.
Anois bain an geata den tacar iontaofa. Cé na cinn scríbe is féidir le 10.60.4.10 a shroicheadh nuair a bhaineann a phróiseas le hionsaitheoir? Ní deir an scagaire URL a chuir srian ar chuairteoirí aon rud faoi nasc a osclaíonn óstach an gheata i dtreo fhoshraith an bhunachair sonraí.
Bain an próiseas feidhmchláir ina ionad, agus athraíonn an t-údarás cruth: an ról expenses_app, na seirbhísí is féidir leis an bhfreastalaí sin a shroicheadh, agus na comhaid is féidir leis an gcuntas sin a léamh. Sa dá chás is féidir leis an doras tosaigh fanacht gréasáin amháin agus an teorainn chúil as láthair. Dá bhrí sin ní freagra ar cheachtar den dá cheist é an lipéad ar an doras tosaigh.
Mapáil an t-údarás atá ag gach páirtí i ndáiríre
Bíonn conradh a scríobhtar mar cheadanna beartaithe ag iompú an dearadh ar ais chugat. Scríobh é mar údarás sealbhaithe, mar an tseiceáil a dhiúltaíonn don bhreis, agus mar úinéir na seiceála sin, agus déantar gach ró inphromhaithe. Is togra é an tábla seo don sampla thuas, ní éileamh táirge:
| Component | Authority it actually holds | Check that proves the denial | Owner of the check |
|---|---|---|---|
| Identity provider | Issues assertions and session cookies, and holds no network path of its own | A request to the application URL without a session is redirected to the login page | Identity team |
| Public gateway host | TCP reachability to whatever its routing table and egress rules permit | An egress rule drops 10.60.4.20:5432 and the probe reports the port filtered | Network platform team |
| Application role | SQL privileges granted to expenses_app inside the expenses database | A privilege query shows no ownership or create right on any other schema | Application team |
| Database listener | Accepts connections only from the source ranges named in its host-based rules | A connection from an unlisted address is refused before authentication | Database administrator |
| Management path | Administrative access reserved for patching, monitoring and recovery | A staff workstation cannot reach the administrative port or jump through it | Platform owner |
Leanann úinéireacht an t-údarás. Is leis an bhfoireann féiniúlachta na héilimh, is leis an bhfoireann ardáin líonra na bealaí, is leis an bhfoireann feidhmchláir an ról bunachair sonraí, is leis an riarthóir bunachair sonraí an t-éisteoir agus a rialacha bunaithe ar óstach, agus is le húinéir an ardáin an t-eitleán bainistíochta. Is abairt i ndoiciméad é diúltú gan úinéir, ní riail.
Cuireann an deighilt cosc ar chomhaireamh dúbailte freisin. Ní féidir le srian poirt pribhléid tábla a chur in iúl, agus ní féidir le ról bunachair sonraí cosc a chur ar óstach soicéad a oscailt chuig foshruth nach mbaineann leis.
Liostaigh a bhféadfadh an geata a shroicheadh in ionad é a éileamh
Níl éileamh teorann níos fearr ná an liosta taobh thiar de. Ar óstach an gheata clúdaíonn trí ordú roghnú bealaigh, promhadh beo agus an polasaí amach:
ip route get 10.60.4.20
nc -zv 10.60.4.20 5432
sudo nft list chain inet filter outputLéigh an t-aschur san ord sin. Deir an bealach an roghnaítear 10.60.4.20 ar chor ar bith ón óstach sin; deir an promhadh an bhfreagraíonn an t-éisteoir; taispeánann liosta na rialacha an stopann polasaí an paicéad nó nach raibh aon rud riamh ina bhealach.
Déan an liosta a athrá ó óstach an fheidhmchláir. Ón áit sin is ceist amháin é taobh an bhunachair sonraí a ritear mar ról an fheidhmchláir:
psql -h 10.60.4.20 -U expenses_app -d expenses -c 'select rolname, rolsuper, rolcreatedb from pg_roles'Is toradh difriúil é nasc rathúil faoi ról nach féidir leis scéim eile a léamh ná nasc rathúil faoi ról úinéara. Níl ach an dara ceann ina fhionnachtain.
Taifead na diúltuithe, ansin dátaigh an t-athbhreithniú
Scríobhtar glacadh mar thorthaí seachas mar rúin: ní féidir le seisiún fostaí an t-éisteoir a shroicheadh, ní féidir le hóstach an gheata foshruth nach mbaineann leis a shroicheadh, agus ní féidir le ról an fheidhmchláir bunachar sonraí a chruthú. Is seiceáil ar leithligh gach ceann acu le húinéir ainmnithe agus dáta.
Coinnigh monatóireacht, paistí agus aisghabháil inrochtana tríd an mbealach bainistíochta atá deartha dóibh. Éiríonn teorainn a chuireann bac ar a húinéir féin ina briseadh, agus is é an gnáthchéad fhreagra ar an mbriseadh sin an riail a leathnú arís. An treoir imlíne CISA a iarrann rochtain isteach agus amach a theorannú do phoirt agus do phrótacail chosanta, lena n-áirítear trácht idir líonraí inmheánacha, arb é an treo a thosaíonn an cúlaistín é agus a fhágann formhór na léaráidí ar lár.
Dátaigh an t-athbhreithniú agus ainmnigh a úinéir. Rith an liosta agus an cheist pribhléide arís tar éis aon athraithe ar íomhá an gheata, ar an tábla ródaithe nó ar ról an fheidhmchláir.