Piaraí soicéid nó ceannteideal seolta: cén seoladh a bhfuil muinín agat as?

Iompraíonn iarratas a shroicheann do fheidhmchlár dhá chineál fianaise seoladh: an piaraí a d'oscail an nasc líonra, agus réimse HTTP a mhaíonn seoladh cliaint níos luaithe. Freagraíonn siad ceisteanna éagsúla. Breathnaítear ar an bpiaraí soicéid, agus dearbhaíonn an ceannteideal an té a scríobh é, agus níor cheart ceachtar acu an ceann eile a ionadú go ciúin i loga nó i riail rochtana. Coinníonn an chomparáid thíos óna chéile iad, agus ansin taispeánann sí an t-aon socrú ina mbíonn an ceannteideal inúsáidte.

Cuir síos ar an gcosán sula ndéanann tú comparáid ar bith:

Client -> approved reverse proxy -> application origin

Sa socrú sin is iondúil gurb é piaraí soicéid na foinse an proxy, agus is féidir le ceannteideal seolta dearbhú an proxy faoin gcliant a iompar. Tagann a luach ón gcaidreamh rialaithe leis an proxy sin, ní ó ainm an cheannteidil.

Dhá chineál fianaise seoladh

Is fíric é an piaraí soicéid faoi nasc TCP amháin: chríochnaigh rud éigin crannchur láimhe ón seoladh sin. Ní gá gurb é an duine, an gléas ná an cuntas a bhfuil tú buartha faoi, mar is féidir le VPN nó le bealach amach Tor a bheith go dleathach mar an fhoinse a bhreathnaíonn seirbhís. Is é fós an t-aon seoladh a d'fhíoraigh an t-óstach féin, agus sin a luach ar fad.

Is meiteashonraí faoi shlabhra é réimse seolta. X-Forwarded-For, X-Real-IP agus an réimse caighdeánaithe Forwarded is féidir le haon chliant a scríobh a shroicheann críochphointe a dhéanann macalla orthu, mar sin braitheann a n-iontaofacht go hiomlán ar cé a raibh cead aige iad a shocrú.

Coinnigh an dá rud i gcomhthéacs an iarratais faoi ainmneacha éagsúla. Cailleann feidhmchlár a fhorscríobhann an piaraí leis an gceannteideal an cumas earráid mhuiníne a atógáil níos déanaí, agus is é sin go beacht an t-am a mbíonn sé uait.

Ní athdhíríonn ceannteideal an nasc riamh

Ní athraíonn scríobh seoladh i réimse seolta foinse an naisc TCP a shroicheann an freastalaí, agus ní athraíonn sé an ródú áit ar bith ar an gcosán. Seachadann ródú VPN gnáth nó NAT foinse trácht gan aon cheannteideal HTTP ar chor ar bith. Ar an gcuma chéanna, ní athscríobhann geata idirthurais malartú HTTPS atá cosanta go cuí gan socrú an chríochphointe TLS a athrú.

Tá an botún droim ar ais chomh coitianta céanna: ní dhéanann HTTPS ceannteideal seolta a sholáthraíonn an cliant fíor. Cosnaíonn sé iompar dearbhaithe bhréagaigh go díreach chomh maith le dearbhú fíor.

Má mholann comhghleacaí athrú ceannteidil chun fadhb ródaithe a shocrú, tá an diagnóis imithe mícheart cheana féin. Deisigh an cosán, nó deisigh cumraíocht an proxy a scríobhann an ceannteideal.

Ainmnigh an proxy a bhfuil cead aige dearbhú

Déanann dhá riail réimse seolta inúsáidte, agus is cumraíocht iad araon seachas cód. Normalaíonn nó scartálann an t-imeall gach a dtagann ón taobh amuigh, de réir a iompair dhoiciméadaithe féin do na réimsí sin. Ansin tógann an fhoinse seoladh ionaid ón gcosán proxy a d'ainmnigh tú agus ó aon rud eile. Ní sheasann an dara riail sin ach amháin fad a nach féidir le cliaint an fhoinse a bhaint amach ar bhealach eile, ós rud é nach bhfuil a fhios ag foinse a fhreagraíonn idir iarratais dhíreacha agus iarratais trí proxy cé acu acu atá á fhriotháil aici.

Taispeánann modúl IP fíor NGINX an deighilt go soiléir. set_real_ip_from ainmníonn sé na seoltóirí a gcomhairtear a ndearbhú, agus real_ip_header deir sé cé acu réimse a iompraíonn é; déanann an chéad cheann an mhuinín, ní deir an dara ceann ach cá bhféachfar.

set_real_ip_from 10.20.0.0/24;
real_ip_header X-Forwarded-For;
# real_ip_recursive off - take the rightmost value in the field
# real_ip_recursive on  - walk the list back past every trusted address

Ní shocraíonn treoir roghnúcháin ceannteidil inti féin rud ar bith fós faoi cé a sheol an luach.

Caithfidh slándáil iompair dul an bealach ar fad idir na comhpháirteanna a bhfuil muinín agat astu. Cailleann imeall a normalaíonn i gceart an luach sin an chéim a ligeann léim neamhchosanta níos faide síos do dhuine éigin eile an dearbhú a chur in eagar agus é ag taisteal.

Déileáil le slabhraí il-léimeanna go stuama

Teastaíonn múnla slabhra shoiléir ó proxyí iolracha. Ná tóg an luach is faide ar chlé nó ar dheis atá scartha le camóga mar rinne blagphostáil éigin amhlaidh; faigh amach cé acu de do proxyí a chuireann leis, a ionadaíonn agus a chaomhnaíonn an réimse atá ag teacht isteach. Is féidir le NGINX, mar shampla, siúl siar ar an liosta in aghaidh a thacair mhuiníne agus stopadh ag an gcéad seoladh nach leis, agus is riail an táirge sin é sin seachas dlí a leanann gach creat. Léigh doiciméadú do proxy féin leis an dá cheist chéanna: cé acu luach a roghnaíonn sé, agus cé na seoltóirí a chreideann sé?

Scríobh an slabhra síos: ord na léimeanna, cé acu léim a shocraíonn an réimse agus cé acu léim a bhaineann cóipeanna atá ag teacht isteach. Ansin coinnigh an nóta sin in aice le cumraíocht an proxy, ní sa ticéad amháin. Ansin tástáil é trí iarratas le ceannteideal bréige a sheoladh tríd an bpróiseas bailíochtaithe ceadaithe agus a dhearbhú go ndéanann an fhoinse neamhaird de.

Nuair a chuireann tú léim leis, athbhreithnigh an doiciméad sin. Is féidir le hualaí-chothromóir nua a chuirtear os comhair an proxy mhuiníne a athrú cé acu seoladh a bhuann gan duine ar bith an feidhmchlár a chur in eagar.

Coinnigh an dá bhreathnóireacht sa loga

San áit a bhfuil diagnóisic údaraithe, logáil piaraí an naisc agus seoladh normalaithe an chliaint mar dhá réimse ar leith, agus cuir leis na meiteashonraí seolta a theastaíonn ón gcuspóir i ndáiríre amháin. Ansin cruthaigh an t-imscaradh le dhá iarratas: ceann trí proxy ar cheart dó an dá luach a thaifeadadh go réasúnta, agus iarracht dhíreach ar an bhfoinse nach mór a dhiúltú.

Cuimhnigh cad a chiallaíonn an péire. Cuireann an ceannteideal comhthéacs leis a sholáthraíonn comhpháirt a roghnaigh tú muinín a bheith agat inti; fanann an piaraí mar an t-aon seoladh a chonaic d'óstach i ndáiríre. Ní cruthúnas ar fhéiniúlacht aonair ceachtar acu, agus beidh dearadh a mheasann ceachtar acu mar chruthúnas mícheart faoi dhuine éigin.