Ժամանակավոր IP թույլատրելի ցանկերի հղումները և ինչ է իրականում թույլատրում տրամադրումը

Մեկ սեղմումը ժամանակավոր firewall-ի կանոնի վերածելը հարմար է, և այն միաժամանակ կառուցում է լիազորման համակարգ, որը որոշում է, թե ով կարող է հասնել ծառայության։ Այն տրամադրում է հասցե, ոչ թե անձ, և այդ տարբերությունը կարևոր է այն պահին, երբ երկու մարդ կիսում են մեկ NAT։ Սահմանափակեք տրամադրման շրջանակը, հաստատեք այն գիտակցաբար և իմաստավորեք ժամկետի ավարտը նախքան հղումը կառուցելը։ Ձեր առջև դրված որոշումը սահմանը որտեղ դնելն է, ոչ թե արդյոք սահման պետք է լինի։

Որոշեք, թե որ հարցին է պատասխանում տրամադրումը

Սկսեք պահանջից։ Եթե անվանված անձը պետք է հասնի ծառայության, և հավելվածն արդեն նույնականացնում է այդ անձին, նույնականացված դարպասը պահում է ինքնությունը կիրառման կետում և ընդհանրապես հասցեի թույլտվության կարիք չունի։ Եթե նպատակը build-գործակալն է, վարչական jump-պորտը կամ սարք, որը չի կարող մասնակցել օգտվողի մուտքին, ապա սահմանափակ շրջանակի հասցեի տրամադրումը կարող է լինել միակ գործնական վերահսկողությունը։

Օգտվողներին ուղղված հավելվածի համար հասցեով թույլտվություն ընտրելը իրական լիազորման խնդիրը տեղափոխում է այլ տեղ, և այնուհետև պորտալը ժառանգում է մեղքը մի բացի համար, որը երբեք չի փակել։

Սահմանափակեք հարցումը սերվերում

Զննարկիչը չպետք է ընտրի նպատակակետը, պորտը կամ նախածանցը։ Պորտալը ծառայությունը լուծում է իր սեփական գրառումներից և իրավունքը ստուգում է սերվերի կողմի թեստով, որը նույն սկզբունքն է, որը OWASP-ի լիազորման ուղեցույցը կիրառում է յուրաքանչյուր հարցման նկատմամբ։ Հասցեի ածանցումը նույնպես պատկանում է պաշտպանված սահմանին․ երբ հակադարձ պրոքսին հայտնում է հաճախորդի հասցեն, ընդունեք միայն կազմաձևված պրոքսի շղթան և նրա փաստաթղթավորված վերնագրերի մշակումը։ Այցելուի տրամադրած փոխանցման վերնագիրը պնդում է ծագման մասին, ոչ թե դրա ապացույցը։

Այնուհետև ստուգեք, որ պորտալն ու ծառայությունը տեսնում են նույն աղբյուրը։ Բաժանված թունելը, մեկ պրոքսի ցատկ և IPv4-ը ընդդեմ IPv6-ի կարող են երկու նպատակակետերի տալ երկու տարբեր հասցե, ուստի մեկ ուղուց ակտիվացված տրամադրումը կարող է չծածկել հաջորդ հարցումը։

Ցույց տվեք տրամադրումը նախքան այն տեղադրելը

Հղումը բացելը պետք է ցույց տա առաջարկվող ծառայությունը, դիտարկված աղբյուրը և տևողությունը, և դեռ ոչինչ չփոխի։ Այդ մեկ քայլը էլփոստով եկած հղումը գործողությունից վերածում է առաջարկի, և այն խանգարում է նախադիտման բոտին կամ փոստի սկաներին հասանելիություն տալ միայն այն բեռնելով։

Հաստատումը պետք է լինի վիճակը փոխող հարցում՝ սովորական միջկայքային և ծագման պաշտպանություններով։ Տոկենը պետք է լինի մեկանգամյա և ատոմար կերպով սպառվի այն պահին, երբ տեղադրվում է կանոնը, իսկ գրառումը պետք է գրանցի սեփականատերը, ծառայությունը, հասցեն, տրամադրման նույնացուցիչը և ժամկետի ավարտը՝ երբեք չգրանցելով հում տոկենը։

Տոկենի առաքումը արժանի է նույն խնամքին, ինչ ինքը կանոնը։ Ժամկետանց կամ արդեն սպառված հղումը, որը դեռ կանոն է ստեղծում, նույն բանալիով տեղադրված երկրորդ դուռ է։

Հասցեն համատեղ է նույնիսկ այն ժամանակ, երբ տրամադրումը գործում է

Գրասենյակային NAT-ը, օպերատորի NAT-ը և համատեղ VPN ելքը յուրաքանչյուրը մի քանի մարդու դնում է մեկ հասցեի հետևում։ Այդ հասցեն թույլատրելը թույլատրում է բոլորին, ովքեր դրա հետևում են — որքանով դա վերաբերում է ծառայության հաջորդ սահմանին —, միաժամանակ ոչինչ չապացուցելով այն մասին, թե ով է պահում այն հաշիվը, որը սպասում է ծառայությունը։

Կանոնը հեռացնելը նույնպես համընդհանուր անջատում չէ։ Հաստատված կապերը, պահված հավելվածային տոկենները և երկարատև սեսիաները կարող են ապրել կանոնից րոպեներով կամ շատ ավելի երկար, ուստի ընտրված կյանքի տևողությունը պետք է արտացոլի, թե ինչ է անում ծառայությունը թույլտվությունից հետո, ոչ միայն այն, թե որքան է գոյություն ունենում կանոնը։

Ստուգեք չորս դեպք և հասցեների երկու ընտանիքները

Տրամադրումը լավ է այնքանով, որքանով դիմանում է չորս դեպքի՝ նոր թույլատրված հարցում, չհաստատված հայցող, նույն հղման կրկնում և նույն հարցումը ժամկետի ավարտից հետո։

Այնուհետև ստուգեք յուրաքանչյուր ընտանիք առանձին, որովհետև ծառայության դիտարկած աղբյուր-հասցեն կարող է տարբերվել նրանց միջև։

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

Օգտակար արդյունքը սովորական օգտվողի լիազորման ներքո գտնվող ժամանակավոր, աուդիտելի թույլտվության որոշումն է, ոչ թե մշտական բացվածք, որը կրում է առաջինը սեղմածի անունը։