URL ɗaya don ofis da VPN? Me ya sa tatsuniyar jerin izini ta ci tura

Haɗa hanyar, buɗe alamar shafi ɗaya, kuma rukunin da aka izini ya amsa daidai kamar yadda ya yi daga ofis. Wannan ita ce zato da yawancin shirye-shiryen shiga nesa suka dogara a hankali, kuma yana tabbata ne kawai muddin abubuwa uku daban-daban sun kasance gaskiya a lokaci ɗaya. Babu ɗayansu siffa ce ta abokin ciniki na VPN, kuma babu rikodin DNS da zai iya samar da ɗaya daga cikinsu. Sa’ad da alamar ta kasa a gida, mai bincike yana ba ka kuskure ɗaya na gama-gari, ko dalili ne hanyar da ta ɓace, adireshin fita da ba a amince da shi, ko wakili da ya maye gurbin tushen da yake bayarwa. Ɗaukar waɗannan ukun a matsayin matsala ɗaya ita ce hanyar da gyare-gyaren manufa ƙarami ke juya zuwa mako na faɗaɗa jerin izini.

Tsarin da zai jure haɗuwa da ainihin cibiyar sadarwar ofis ya fi zaton ƙunci: teburin shawara bayyananne mai layi uku, wurin aiwatarwa ɗaya da ba za a iya tsallake shi ba, da gwajin ƙi wanda ke tabbatar da wani abu. Kwance zaton shi ne farko, domin duk abin da ke bayansa ya dogara da sanin wane mataki ne ke wakiltar tushen ba daidai ba.

Tatsuniya: haɗawa ba hanya ba ce

Ana kafa hanyar, kuma abokin ciniki yana shigar da hanyoyi don wasu jerin prefixes. Wannan shi ne dukan abin da haɗawa ke yi. Ko buƙatar HTTPS marar alaƙa za ta bi ta hanyar, da wane adireshin jama’a take kamar ta fito daga gare shi idan ta iso, shawarwari ne da wasu sassan ke yankewa daga baya: teburin hanyoyi yana zaɓar hanya, fita kuma tana zaɓar tushen.

Shi ya sa ofis da teburin kicin suka bambanta da kwamfutar tafi-da-gidanka ɗaya, bayanin mai bincike ɗaya da alamar shafi ɗaya. A ofis buƙatar tana fita ta adireshin jama’a da ake kula da shi wanda ma’aikacin rukunin ya amince da shi. Ta cikakkiyar hanyar tana iya fita ta fitar VPN, wanda wani adireshi ne kuma, har wani ya ƙara shi, wanda ba a amince da shi ba. Ta hanyar da aka raba ba za ta shiga hanyar kwata-kwata ba. Biyu ne kawai daga waɗannan hanyoyi uku suka taɓa kasancewa cikin yarjejeniyar da mai rukunin, kuma na uku ba lahani ba ne da za a gyara da ƙarin layin allow.

Yanayin buƙata uku, fitar da aka amince da su biyu

Rubuta matrix kafin ka taɓa bangon wuta, domin teburin shi ne tsari kuma ƙa’idar wata aikace-aikace ɗaya ce kawai nasa. Adireshin da ke ƙasa jerin takardu ne; maye gurbin su da naka ƙididdiga da ake kula da su kuma ajiye su inda mai rukunin zai iya duba su.

Layin tsakiya shi ne inda yawancin waɗannan shirye-shirye suke karyewa. Abin da ke da muhimmanci shi ne adireshin da na’urar aiwatarwa ke gani, ba adireshin sirri da kwamfutar tafi-da-gidanka ke riƙe cikin hanyar ba kuma ba adireshinta na LAN ba. Ƙima kamar 10.8.0.6 ba ta da ma’ana ga rukunin jama’a, haka ma 192.168.1.44. Adireshin hanyar bayani ne na adireshi na hanyar, ba takardar shaida da rukunin zai iya dubawa ba.

Idan VPN ɗinka ba zai iya samar da tabbataccen fita da aka rubuta ba, matrix ɗin ba shi da ingantaccen layin tsakiya kuma babu yawan jerin izini da zai ƙirƙira ɗaya. Zaɓuɓɓukan gaskiya a wannan lokacin su ne rukunin sirri da ake isa gare shi ta hanyoyin sirri bayyanannu, ko ƙofar shiga mai sanin asali a gaban aikace-aikacen. Dukansu suna da yarjejeniya dabam da jerin izinin jama’a, kuma dukansu sun fi sauƙin bayyanawa ga mai duba fiye da jerin da ya girma har ya yi aiki kwatsam.

Karanta tushen a inda ake yanke shawara

Sanya ƙuntatawa a kan na’urar da ke ƙare buƙatar, kuma tabbatar da babu wata hanyar asali dabam da ke tsallake ta. Modul ɗin shiga na Nginx yana kimanta umarnin allow da deny bi da bi, farkon da ya dace shi ne ya yi nasara, kuma ƙa’idojin da aka gada daga wani block mai kewaye suna nan aiki cikin location. Ƙuncin allow kusa da faɗin allow a wuri ɗaya yawanci yana nufin faɗin ne ke yankewa. Karanta dukan ingantaccen tsarin daidaitawa na wannan location kafin ka gyara ko layi ɗaya nasa.

server {
    listen 443 ssl;
    server_name intranet.example.com;

    set_real_ip_from 10.20.0.10;
    real_ip_header X-Forwarded-For;
    real_ip_recursive on;

    location /app/ {
        allow 203.0.113.24;    # office public exit
        allow 198.51.100.77;   # approved VPN egress
        deny  all;
        proxy_pass http://app_backend;
    }
}

Bayan mai daidaita nauyi ko wakili mai juyawa, wannan ƙa’ida tana ganin wakilin sai ka faɗa masa wani abu daban. Maido da adireshin mai kira kawai ta hanyar ingantacciyar hanyar wakili amintacce, tare da bayyanannen jerin adiresoshin wakili. Kanun buƙata da ke da’awar adireshin da aka amince ba hujja ba ce cewa mai kira ya mallake shi, kuma a kan mai saurare na jama’a kanun da ba a tabbatar da shi ba yana mai da jerin izini kayan ado.

Sannan duba ɗayan iyali na adireshi. Jerin ƙa’idoji da ke rufe IPv4 kawai yanke shawara ne marar cikawa ga sunan mai masauki wanda kuma ke amsawa a AAAA, kuma abokin ciniki mai aiki da IPv6 zai isa wannan aikace-aikacen ta hanyar da ba ka taɓa duba ba.

Hanyar da aka raba: buƙatar da ba ta taɓa shiga ba

Hanyar da aka raba tana ɗaukar prefixes ɗin da ke cikin jerinta kawai. Ƙananan cibiyoyin sadarwa na cikin ofis yawanci suna cikin wannan jerin; rukunin yanar gizo na jama’a ba ya ciki. Mai bincike yana warware sunan, yana kwatanta adireshin da aka zaɓa da teburin hanyoyi, kuma har yanzu yana samun ƙofar gida ta asali a gabansa.

Don haka buƙatar ta zo daga haɗin gidan mai amfani, an ƙi ta, kuma rahoton ya ce VPN ya lalace yayin da hanyar ke yin daidai abin da aka saita ta don yi. Gyara biyu sun halatta: ka daidaita wannan manufa ta cikin hanyar kuma ka bar fitar da aka amince ta ɗauke ta, ko ka yarda cewa ana isa rukunin kai tsaye kuma ka ba masu amfani na nesa wata hanyar da aka amince, kamar ƙofar shiga. Faɗaɗa jerin izinin jama’a na rukunin har adireshin gida ya shiga kwatsam ba ɗaya daga cikinsu ba ne, kuma yana cire iyakar da tsarin ya kamata ya aiwatar. Biyun farko suna riƙe matrix ɗin da gaskiya; na uku yana share layi daga gare shi a hankali.

Tabbatar da ƙin, sannan dawo

Gwada da buƙatar da ke aiwatar da ainihin shawara, daga abokin ciniki da ke tsaye a kowane layin teburin. Duban isa ga wani shafi marar alaƙa da ke nuna adireshi ba ya tabbatar da kome, domin wannan manufar tana iya bin wata hanya dabam da aikace-aikacen.

curl -sS -o /dev/null -w 'status=%{http_code}
' https://intranet.example.com/app/login
# repeat with the tunnel up, then with it down
tail -f /var/log/nginx/access.log | grep ' /app/'

Kwatanta rikodin shiga da ke kan iyaka da abin da teburin ya annabta. Sannan ka saukar da hanyar kuma ka yi sabuwar buƙata da ya kamata a ƙi; shafin da aka riga ya loda, ko haɗin da aka riga ya buɗe, ba ya gwada kome. Idan babu ƙin da ya bayyana, wurin aiwatarwa ba inda kake tsammani ba.

Riƙe tabbatar da aikace-aikacen bayan an shigar da shi cikin cibiyar sadarwa, domin fitar ofis da fitar VPN kowanne yana wakiltar mutane da yawa kuma babu ɗaya da ke gane mutum ɗaya. Umarnin ga masu amfani ya kasance gajere: tayar da hanyar da aka amince, sannan a sake gwadawa. Wannan shi ne ke riƙe URL ɗaya da sauƙi yayin da ƙa’idar tushen ta kasance shawara ba zato ba.