Limistéar riaracháin SaaS taobh thiar den VPN: cén seoladh ar cheart muinín a bheith agat as?

Is féidir le leathanaigh phoiblí SaaS fanacht oscailte do chách agus na hoibríochtaí riaracháin taobh thiar díobh ag diúltú d’aon duine lasmuigh den VPN. Ní roghchlár ceilte ná leathanach logála isteach ar leithligh is ea an meicníocht a fhágann go n-oibríonn sé sin; is seiceáil í ar an gcosán líonra a sheachaid an t-iarratas. Má théann an fhianaise seoltaí amú, caitheann an tseiceáil riarthóirí fíora amach nó ligeann sí isteach aon duine ar féidir leis ceanntásc a chlóscríobh. Tosaigh leis an rud a fhaigheann an t-ionad i ndáiríre.

An rud a fhaigheann an t-ionad i ndáiríre tar éis an tolláin

Nuair a shroicheann brabhsálaí an suíomh poiblí trí VPN a iompraíonn trácht idirlín freisin, aistríonn an geata an nasc sula n-imíonn sé. Feiceann an SaaS seoladh eisithe poiblí an gheata, de ghnáth seoladh amháin nó raon beag, agus ní fheiceann sé riamh seoladh tolláin an ríomhaire glúine. Sin an fáth a dteipeann ar 10.90.0.42 a chur leis an liosta ceadaithe, agus an fáth a dteipeann ar an RFC 1918 iomlán a chur leis níos airde fós: ligeann an dara ceann isteach gach líonra príobháideach ar féidir leis teacht ort. Is é an t-aon seoladh ar fiú coinníoll a chur air ná an ceann atá ag d’eagraíocht go hiarbhír ag an mbealach amach.

curl -s https://ifconfig.me
dig +short admin.example.com

Briseann tollánú scoilte an toimhde sin go ciúin. Mura n-iompraíonn an VPN ach bealaí oifige príobháideacha, téann an t-iarratas chuig an ainm óstaigh riaracháin phoiblí amach tríd an soláthraí áitiúil agus feiceann an t-ionad seoladh cónaithe. Ní chruthaíonn deilbhín VPN ceangailte aon rud faoin gceann scríbe áirithe seo, mar sin tástáil an ceann scríbe seachas an tollán.

Stop agus deisigh an ródú sula scríobhann tú aon pholasaí má athraíonn an seoladh eisithe de réir úsáideora. Tá coinníoll nach n-oireann ach do roinnt riarthóirí níos measa ná gan aon choinníoll, mar ceileann sé an fhadhb go dtí eachtra.

Ná bíodh muinín agat ach as an seachfhreastalaí a athscríobhann an seoladh

Bíonn formhór na suíomhanna poiblí taobh thiar de CDN nó de sheachfhreastalaí droim ar ais, mar sin baineann seoladh soicéid an ionaid leis an bhfreastalaí tosaigh sin agus ní leis an gcuairteoir. De ghnáth seolann an freastalaí tosaigh an seoladh bunaidh ar aghaidh i gceanntásc, agus bíonn an ceanntásc sin faoi smacht ionsaitheora mura nglacann an t-ionad leis ach ó sheachfhreastálaithe aitheanta. Cumraigh an liosta foinsí iontaofa go sainráite agus déan an t-ionad dosháraithe ó aon áit eile. Gan an dara leath sin, scipeálann ionsaitheoir an seachfhreastalaí agus seolann sé an ceanntásc go díreach.

set_real_ip_from 192.0.2.0/24;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
curl -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin

Baineann an réasúnaíocht chéanna le prótacal PROXY: ní bhíonn sé iontaofa ach amháin nuair a bhíonn an t-éisteoir ceangailte le comhéadan ar féidir leis an seachfhreastalaí teacht air agus nach féidir le haon rud eile. Caithfidh comhthéacs seoltaí atá ar iarraidh an tseiceáil chosanta a mhainneachtain seachas titim trí chomhair ceada réamhshocraithe. Ní fianaise ar chosán iontaofa é ceanntásc atá as láthair.

Ceangail an coinníoll le gach oibríocht chosanta

Cuir an tseiceáil ag an teorainn údaraithe a dtéann gach oibríocht chosanta tríd, ní sa leathanach a dhéanann an roghchlár a rindreáil. Oibríonn grúpaí bealaí, middleware nó ciseal polasaí go léir; ní oibríonn cóip in aghaidh an láimhseálaí, mar ní bheidh sí ag an láimhseálaí a chuireann duine leis an gcéad ráithe eile.

user = requireAuthenticatedSession()
requirePermission(user, "admin")
requireVpnEgress(verifiedClientAddress(request))
performProtectedOperation(user, request)

Caithfidh an teorainn chéanna clúdach a dhéanamh ar an JSON API, ar onnmhairí, ar URLanna íoslódála sínithe agus ar chroitheadh láimhe WebSocket, ós rud é nach gá d’aon cheann acu an leathanach HTML a iarraidh ar dtús. Fanann nasc íoslódála a chruthaítear agus an VPN suas bailí ina dhiaidh sin mura seiceálann an pointe deiridh íoslódála arís. Teastaíonn riail athmheasúnaithe ó sheisiúin fhadtéarmacha freisin, nó déantar eisceacht bhuan d’iarratas amháin fíordheimhnithe. Is é an diúltú réamhshocraithe an t-aon socrú a mhaireann trí thréimhseoireacht foirne.

Is é an bealach eile timpeall na seiceála ná taisce chomhroinnte. Is féidir le taisce a bhfuil freagra cosanta inti cheana féin é a sheirbheáil gan dul i dteagmháil leis an ionad, mar sin marcáil freagraí riaracháin mar phríobháideacha agus coinnigh amach ó stóras comhroinnte iad. Más gá do thaisce iad a sheirbheáil, caithfidh an tseiceáil rochtana rith roimh an tseirbheáil, rud a chiallaíonn de ghnáth nach féidir léi a bheith ina taisce chomhroinnte ar chor ar bith.

Tástáil na seachbhealaí a dhún tú anois díreach

Cleacht an mhaitrís seachas an cosán sona: riarthóir tríd an VPN, an riarthóir céanna gan é, neamh-riarthóir tríd, agus ceanntásc seoltaí brionnaithe. Cuir iarratas díreach chuig an ionad agus iarratas le freagra i dtaisce leis, mar is iad an dá cheann sin a scipeálann an freastalaí tosaigh go hiomlán.

curl -sI https://admin.example.com/export.csv
curl -s -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin
curl -s https://admin.example.com/api/me -o /dev/null -w '%{http_code}\n'

Ba cheart do gach iarratas an stádas a gheallann an polasaí a thabhairt ar ais, agus ba cheart don logáil a thaifeadadh cén fhianaise seoltaí a úsáideadh. Clúdaigh IPv6 ar leithligh, mar féadfaidh ionad dé-stac teaghlach foinse difriúil a fheiceáil ná an ceann a thástáil tú. Coinnigh gnáthoibríochtaí custaiméara ag feidhmiú lasmuigh den VPN, nó cuirfear an t-athrú ar ais an chéad uair a dhéanann custaiméir gearán. Scríobh an toradh a bhfuiltear ag súil leis do gach ró sula rithfidh tú é, ionas go mbeidh pas iontasach le feiceáil.

Cruthaíonn an seoladh eisithe cosán líonra ceadaithe, ní duine agus ní gléas bainistithe. Coinnigh mar aon choinníoll é in aice le fíordheimhniú agus cead, agus fanann an limistéar riaracháin cúng gan an táirge iomlán a iompú ina sheirbhís VPN amháin. Is é an deighilt sin an dearadh, ní teorannú air.