Aon URL amháin don oifig agus don VPN? Cén fáth a dteipeann ar mhiotas an liosta ceadaithe

Ceangail an tollán, oscail an leabharmharc céanna, agus freagraíonn an suíomh ceadaithe go beacht mar a rinne sé ón oifig. Sin an toimhde a bhfuil formhór na bpleananna rochtana cianda ag brath go ciúin uirthi, agus ní sheasann sí ach fad a fhanann trí rud ar leith fíor ag an am céanna. Ní gné den chliant VPN aon cheann acu, agus ní féidir le haon taifead DNS aon cheann acu a sholáthar. Nuair a theipeann ar an leabharmharc sa bhaile, tugann an brabhsálaí earráid chineálach amháin duit, cibé acu is cúis le bealach ar iarraidh, seoladh eisíocaíochta neamhcheadaithe nó seachfhreastalaí a ghlac áit na foinse a thuairiscíonn sé. Is é an trí rud sin a láimhseáil mar aon fhadhb amháin an bealach a n-athraíonn deisiú beag beartais ina sheachtain de leathnú liostaí ceadaithe.

Tá an dearadh a mhaireann teagmháil le fíorlíonra oifige níos cúinge ná an toimhde: tábla cinnteoireachta sainráite trí rí, pointe forfheidhmithe amháin nach féidir a sheachaint, agus tástáil diúltaithe a chruthaíonn rud éigin. Tagann díchoimisiúnú na toimhde ar dtús, mar braitheann gach rud ina dhiaidh sin ar fhios a bheith agat cé acu ciseal a dhéanann mí-ionramháil ar an bhfoinse.

An miotas: ní ródú é ceangal

Bunaítear tollán, agus suiteálann an cliant bealaí do shraith éigin réimíreanna. Sin uile a dhéanann ceangal. Cibé an dtéann iarratas HTTPS neamhghaolmhar tríd an tollán, agus ó cén seoladh poiblí is cosúil go dtagann sé nuair a shroicheann sé, is cinntí iad a dhéanann comhpháirteanna eile níos déanaí: roghnaíonn an tábla ródaithe an bealach, agus roghnaíonn an t-eisíocaíocht an fhoinse.

Sin é an fáth a n-imíonn an oifig agus bord an chistin in éagsúlacht leis an ríomhaire glúine céanna, an próifíl bhrabhsálaí céanna agus an leabharmharc céanna. San oifig fágann an t-iarratas trí sheoladh poiblí cothabháilte a d’aontaigh oibreoir an tsuímh leis. Trí thollán iomlán féadann sé imeacht trí eisíocaíocht an VPN, ar seoladh difriúil é agus, go dtí go gcuireann duine éigin leis, ceann neamhcheadaithe. Trí thollán scoilte b’fhéidir nach dtéann sé isteach sa tollán ar chor ar bith. Ní raibh ach dhá cheann de na trí bhealach sin riamh mar chuid den chomhaontú le húinéir an tsuímh, agus ní locht é an tríú ceann atá le paisteáil le breis iontrála allow.

Trí staid iarratais, dhá eisíocaíocht cheadaithe

Scríobh an mhaitrís síos sula dtagann tú i dteagmháil le balla dóiteáin, mar is é an tábla an dearadh agus ní hé an riail ach cur i bhfeidhm amháin de. Is raonta doiciméadúcháin iad na seoltaí thíos; cuir do luachanna cothabháilte féin ina n-ionad agus coinnigh iad in áit ar féidir le húinéir an tsuímh iad a iniúchadh.

Is é an rí lárnach an áit a mbraitheann formhór na bpleananna seo. Is é an seoladh a fheiceann an gléas forfheidhmithe a bhfuil tábhacht leis, ní an seoladh príobháideach a choinníonn an ríomhaire glúine istigh sa tollán ná a sheoladh LAN. Ní chiallaíonn luach mar 10.8.0.6 aon rud do shuíomh poiblí, agus ní chiallaíonn 192.168.1.44 ach an oiread. Is mionsonra seoladh an tolláin é seoladh an tolláin, ní dintiúir é ar féidir leis an suíomh a sheiceáil.

Mura féidir le do VPN eisíocaíocht chobhsaí, dhoiciméadaithe a sholáthar, níl aon rí lárnach bailí ag an mhaitrís agus ní cheapfaidh aon mhéid liostaí ceadaithe ceann. Is iad na roghanna macánta ag an bpointe sin suíomh príobháideach a shroichtear thar bhealaí príobháideacha sainráite, nó geata rochtana atá feasach ar fhéiniúlacht os comhair an fheidhmchláir. Tá conradh difriúil ag an dá cheann ó liosta ceadaithe poiblí, agus tá an dá cheann níos fusa a mhíniú d’iniúchóir ná liosta a d’fhás go dtí gur oibrigh sé de thaisme.

Léigh an fhoinse san áit a ndéantar an cinneadh

Cuir an srian ar an ngléas a chríochnaíonn an t-iarratas, agus dearbhaigh nach dtéann aon bhealach tionscnaimh eile thairis. Modúl rochtana Nginx déanann sé measúnú ar na treoracha allow agus deny in ord, bíonn an chéad mheaitseáil i réim, agus tá feidhm fós ag rialacha a oibrítear ó bhloc ina thimpeall laistigh de location. Ciallaíonn allow cúng in aice le allow leathan san áit chéanna de ghnáth gurb é an leathan a shocraíonn. Léigh an chumraíocht éifeachtach iomlán don location sin sula n-athraíonn tú aon líne amháin de.

server {
    listen 443 ssl;
    server_name intranet.example.com;

    set_real_ip_from 10.20.0.10;
    real_ip_header X-Forwarded-For;
    real_ip_recursive on;

    location /app/ {
        allow 203.0.113.24;    # office public exit
        allow 198.51.100.77;   # approved VPN egress
        deny  all;
        proxy_pass http://app_backend;
    }
}

Taobh thiar de chothromóir ualaigh nó de sheachfhreastalaí inbhéartach feiceann an riail sin an seachfhreastalaí mura ndeir tú a mhalairt leis. Ná cuir seoladh an ghlaoiteora ar ais ach amháin tríd an mheicníocht tseachfhreastalaí iontaofa a thacaítear léi, le liosta sainráite de sheoltaí seachfhreastalaí. Ní cruthúnas é ceanntásc iarratais a mhaíonn seoladh ceadaithe go bhfuil an seoladh sin ag an nglaoiteoir, agus ar éisteoir poiblí iompaíonn ceanntásc curtha ar aghaidh gan bhailíochtú an liosta ceadaithe ina ornáid.

Ansin seiceáil an teaghlach seoladh eile. Is cinneadh neamhiomlán é sraith rialacha nach gclúdaíonn ach IPv4 d’ainm óstaigh a fhreagraíonn ar AAAA freisin, agus sroichfidh cliant a bhfuil IPv6 ag obair aige an feidhmchlár céanna ar bhealach nár athbhreithnigh tú riamh.

Tollán scoilte: an t-iarratas nach dtéann isteach riamh

Ní iompraíonn tollán scoilte ach na réimíreanna ar a liosta. Is gnách go mbíonn fo-líonraí inmheánacha na hoifige ar an liosta sin; ní bhíonn suíomh gréasáin poiblí. Réitíonn an brabhsálaí an t-ainm, cuireann sé an seoladh roghnaithe i gcomparáid leis an tábla ródaithe, agus faigheann sé an geata réamhshocraithe áitiúil ina thosach fós.

Mar sin tagann an t-iarratas ó nasc baile an úsáideora, diúltaítear dó, agus deir an tuarascáil go bhfuil an VPN briste agus an tollán ag déanamh go beacht an rud a cumraíodh é lena dhéanamh. Tá dhá cheartú dlisteanach: ródaigh an ceann scríbe sin tríd an tollán agus lig don eisíocaíocht cheadaithe é a iompar, nó glac leis go sroichtear an suíomh go díreach agus tabhair bealach ceadaithe eile d’úsáideoirí cianda, ar nós an gheata rochtana. Ní hé leathnú liosta ceadaithe poiblí an tsuímh go dtí go gcuirtear seoladh baile san áireamh de thaisme ceachtar acu, agus baineann sé an teorainn a bhí le forfheidhmiú ag an dearadh. Coinníonn an chéad dá cheann an mhaitrís macánta; scriosann an tríú ceann rí di go ciúin.

Cruthaigh an diúltú, ansin an t-aisghabháil

Tástáil le hiarratas a fheidhmíonn an fíorchinneadh, ó chliant atá ina sheasamh ar gach rí den tábla. Ní chruthaíonn seiceáil inrochtaineachta i gcoinne aon leathanach neamhghaolmhar a thaispeánann an seoladh aon rud, mar d’fhéadfadh an ceann scríbe sin bealach difriúil a leanúint ón fheidhmchlár.

curl -sS -o /dev/null -w 'status=%{http_code}
' https://intranet.example.com/app/login
# repeat with the tunnel up, then with it down
tail -f /var/log/nginx/access.log | grep ' /app/'

Cuir taifead rochtana na teorann i gcomparáid leis an méid a thuar an tábla. Ansin ísligh an tollán agus déan iarratas nua ar chóir é a dhiúltú; ní thástáileann leathanach atá luchtaithe cheana, ná nasc atá oscailte cheana, aon rud ar chor ar bith. Mura dtagann aon diúltú chun solais, níl an pointe forfheidhmithe san áit a gceapann tú.

Coinnigh fíordheimhniú an fheidhmchláir tar éis ceadú don líonra, mar seasann eisíocaíocht oifige agus eisíocaíocht VPN araon ar son a lán daoine agus ní aithníonn ceachtar acu duine aonair. Fanann an treoir d’úsáideoirí gearr: ardaigh an tollán ceadaithe, ansin triail arís. Sin a choinníonn aon URL amháin áisiúil agus an riail foinse ina cinneadh fós seachas ina buille faoi thuairim.