Pechade a vista previa temporal antes de que se volva permanente

Un revisor que non pode conectarse á VPN necesita unha ligazón para unha tarde, e ao anoitecer o servizo de produción ten un nome de host público que ninguén lembra ter aprobado. A solicitude era pequena; o cambio non o era. Unha vista previa temporal é un novo camiño de acceso cunha audiencia, un ámbito de datos e unha hora de fin. Tratádea como calquera outra entrada, porque a palabra temporal non pecha nada.

Temporal é unha duración, non un control

A palabra temporal describe canto tempo debería existir algo, non que o limita mentres existe. Un nome de host público sen caducidade é permanente no momento en que a persoa que o creou cambia de equipo.

Antes de expor nada, o propietario do servizo e o propietario de seguridade deberían aprobar tres cousas: a audiencia, os datos e a duración.

Un contorno de convidado ou de revisión existente adoita ser máis sinxelo que publicar o servizo de produción. Xa ten un propietario, un camiño de aprobación e un proceso de retirada. Construír unha excepción nova para unha tarde é a forma en que unha solicitude pequena se converte nun activo permanente. Comezade preguntando se a revisión pode ocorrer dentro de algo que xa existe.

Publicade unha operación, nunca unha subrede

Escollede a entrada máis pequena que aínda soporta a revisión. Preferide unha copia de proba con datos axeitados a produción, e unha interface autenticada que chega a unha orixe privada en lugar de calquera ruta de subrede.

Un repetidor con alcance de VPN non ten que publicar toda unha subrede privada, e desde logo non debería publicar a interface de administración da pasarela.

Nomeade as contas ás que se permite pasar e as accións que poden realizar. Restrinxir por IP de orixe si reduce quen pode conectarse. Non identifica unha persoa, porque os enderezos públicos compártense e cambian.

Conservade a autorización propia da aplicación ou unha entrada explicitamente fiable que recoñeza a identidade. Protexede as descargas, as API e as rutas administrativas, non só a páxina de entrada. Unha interface que remata TLS convértese nun punto final fiable, e unha ruta privada detrás dela non converte un visitante público en membro da VPN. Proba as rutas excluídas co mesmo coidado que a páxina de entrada.

Identidade na interface, non no enderezo de orixe

As regras de IP de orixe son útiles para reducir a exposición e inútiles para probar quen é un revisor. As conexións domésticas cambian, as redes móbiles comparten enderezos e un compañeiro pode estar detrás do mesmo NAT.

Un proxy que recoñece a identidade ou o inicio de sesión propio da aplicación dávos unha decisión por persoa. Iso é o que fai posible a revogación máis adiante, porque podedes quitar unha identidade sen cambiar a rede.

Mantede a validación de certificados activa e bloqueade o acceso directo á orixe. Se a orixe segue sendo alcanzable desde internet, a interface é só decoración.

Revogade o dereito e a ruta

Rexistrade un propietario e unha caducidade exacta no sistema operativo que xa rastrexa o acceso. Usade acceso limitado no tempo ou retirada programada onde a plataforma o admita, e engadide unha comprobación por se falla a automatización.

Ao final acordado, retirade a interface temporal, o permiso de ruta e o dereito do revisor a través dos seus propietarios. As sesións existentes e as conexións de longa duración necesitan o seu propio tratamento, porque unha ruta retirada non as remata.

Un TTL de DNS curto non é a caducidade do acceso. Cambia canto tempo un resolvedor garda a resposta. Non desactiva unha conta, non corta unha sesión viva nin pecha un porto que segue escoitando.

As copias na caché forman parte do mesmo problema. Baixar a ruta da orixe non recupera un ficheiro que alguén xa gardou, e unha caché compartida pode servir copias despois de que o repetidor desapareza. Escollede a política de resposta e almacenamento antes de que comece a revisión.

Comprobade que a ruta antiga desapareceu de verdade

A aceptación é unha solicitude nova que falla, ademais de o fluxo de traballo normal da VPN seguir funcionando. Probade ambas as dúas cousas, porque unha retirada que rompe a ruta ordinaria non é unha retirada limpa.

Desde fóra da rede, confirmade que o nome e a orixe están ambos pechados:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Mantede un rexistro de auditoría estreito do que se aprobou, quen podía chegar e cando se retirou. Ese rexistro é a diferenza entre unha excepción controlada e un nome de host sen explicación. Unha vista previa temporal ten éxito cando ofrece a revisión solicitada e despois deixa de ofrecerla. Que a URL desapareza dunha mensaxe de chat non é esa proba.