Yankin gudanarwa na SaaS bayan VPN: wace adireshi za ka amince da ita?

Shafukan SaaS na jama'a na iya kasancewa a buɗe ga kowa yayin da ayyukan gudanarwa da ke bayansu ke ƙin duk wanda ke wajen VPN. Hanyar da ke sa hakan ya yiwu ba ɓoyayyen menu ba ce ko shafin shiga daban; bincike ne a kan hanyar cibiyar sadarwa da ta kawo buƙatar. Idan shaidar adireshin ta yi kuskure, binciken ko dai ya kulle ainihin masu gudanarwa a waje ko ya ƙyale duk wanda zai iya buga kanu. Fara da abin da asalin yake karɓa a zahiri.

Abin da asalin yake karɓa a zahiri bayan ramin

Lokacin da mai bincike ya isa shafin jama'a ta VPN wanda kuma ke ɗaukar zirga-zirgar intanet, ƙofar tana fassara haɗin kafin ya fita. SaaS yana ganin adireshin fita na jama'a na ƙofar, yawanci adireshi ɗaya ko ƙaramin kewayo, kuma ba ya taɓa ganin adireshin rami na kwamfutar hannu. Shi ya sa saka 10.90.0.42 cikin jerin da aka yarda ya kasa, kuma shi ya sa saka dukan RFC 1918 ya kasa da ƙarfi: na biyu yana ƙyale kowace cibiyar sadarwa mai zaman kanta da za ta iya isa gare ka. Adireshin da ya cancanci sharadi shi ne wanda ƙungiyarka ta mallaka a zahiri a wurin fita.

curl -s https://ifconfig.me
dig +short admin.example.com

Ramin da aka raba yana karya wannan zato a hankali. Idan VPN yana ɗaukar hanyoyin ofis masu zaman kansu kawai, buƙatar zuwa sunan mai masaukin gudanarwa na jama'a tana fita ta ISP na gida kuma asalin yana ganin adireshin zama. Alamar VPN da aka haɗa ba ta tabbatar da kome game da wannan manufa ta musamman ba, don haka gwada manufar ba ramin ba.

Tsaya ka gyara turawa kafin ka rubuta kowace manufa idan adireshin fita ya bambanta ga kowane mai amfani. Sharadi da ya dace da wasu masu gudanarwa kawai ya fi rashin sharadi muni, domin yana ɓoye matsalar har sai wani lamari.

Ka amince da wakilin da ke sake rubuta adireshin kawai

Yawancin shafukan jama'a suna bayan CDN ko wakili mai juyi, don haka adireshin soket na asalin na wannan gaban ne ba na baƙo ba. Gaban yana aika adireshin asali a cikin kanu, kuma wannan kanun mai hari ne ke sarrafa shi sai dai idan asalin ya karɓe shi daga sanannun wakilai kawai. Ka saita jerin tushe amintattu a fili kuma ka sa asalin ba ya isa daga wani wuri. Idan babu wannan rabin na biyu, mai hari zai tsallake wakilin ya aika kanun kai tsaye.

set_real_ip_from 192.0.2.0/24;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
curl -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin

Irin wannan tunani ya shafi ka'idar PROXY: amintacce ne kawai idan mai saurare yana daure da wata hanyar da wakili zai iya isa kuma babu wani abin da zai isa. Rashin mahallin adireshi dole ya sa binciken kariya ya kasa maimakon ya faɗi cikin izini na asali. Kanun da ba ya nan ba shaidar hanya amintacciya ba ce.

Haɗa sharadin da kowace aikin kariya

Sanya binciken a iyakar izini da kowace aikin kariya ke wucewa, ba a shafin da ke zana menu ba. Ƙungiyoyin hanya, middleware ko layin manufa duk suna aiki; kwafin kowane mai sarrafawa ba ya aiki, domin mai sarrafawa da wani zai ƙara a kwata mai zuwa ba zai samu ba.

user = requireAuthenticatedSession()
requirePermission(user, "admin")
requireVpnEgress(verifiedClientAddress(request))
performProtectedOperation(user, request)

Irin wannan iyaka dole ya rufe JSON API, fitarwa, URL ɗin saukewa da aka sa hannu da musafaha na WebSocket, tunda babu ɗayansu da ke buƙatar a nemi shafin HTML da farko. Hanyar saukewa da aka ƙirƙira lokacin da VPN ke aiki tana nan da inganci bayan haka sai dai idan wurin saukewa ya sake dubawa. Dogayen zama suna buƙatar ka'idar sake kimantawa kuma, in ba haka ba buƙata ɗaya da aka tabbatar ta zama keɓe na dindindin. Ƙin na asali shine saitin da ya ke tsira daga canjin ma'aikata.

Rumbun ajiya na tarayya su ne ɗayan hanyar kewaya binciken. Rumbun da ya riga ya riƙe amsa mai kariya zai iya ba da ita ba tare da tuntuɓar asalin ba, don haka saka alamar amsoshin gudanarwa a matsayin na sirri kuma ka kiyaye su daga ajiyar tarayya. Idan rumbun dole ya ba da su, binciken shiga dole ya gudana kafin bayarwa, wanda yawanci yana nufin ba zai iya zama rumbun tarayya kwata-kwata ba.

Gwada hanyoyin tsallakewa da ka rufe yanzu

Ka gwada matrix ba hanyar farin ciki ba: mai gudanarwa ta VPN, wannan mai gudanarwar ba tare da ita ba, wanda ba mai gudanarwa ba ta cikinta, da kanun adireshi na jabu. Ƙara buƙata kai tsaye zuwa asalin da buƙata da amsa daga rumbu, domin waɗannan biyun ne ke tsallake gaban gaba ɗaya.

curl -sI https://admin.example.com/export.csv
curl -s -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin
curl -s https://admin.example.com/api/me -o /dev/null -w '%{http_code}\n'

Kowace buƙata ta mayar da matsayin da manufar ta yi alkawari, kuma log ɗin ya rubuta wace shaidar adireshi aka yi amfani da ita. Rufe IPv6 daban, domin asalin mai fakiti biyu na iya ganin dangin tushe daban da wanda ka gwada. Ka kiyaye ayyukan abokin ciniki na yau da kullum suna aiki a wajen VPN, in ba haka ba za a sake canjin a lokacin da abokin ciniki ya fara korafi. Rubuta sakamakon da ake tsammani na kowace layi kafin ka gudanar da ita, domin wucewar da ba a zata ta kasance a bayyane.

Adireshin fita yana tabbatar da hanyar cibiyar sadarwa da aka yarda, ba mutum ba kuma ba na'ura da ake sarrafawa ba. Ka riƙe shi a matsayin sharadi ɗaya tare da tabbatarwa da izini, kuma yankin gudanarwa yana kasancewa ƙunci ba tare da mai da dukan samfurin sabis na VPN kawai ba. Wannan rarrabuwa ita ce ƙira, ba iyaka gareta ba.