Lokaðu tímabundnu forskoðuninni áður en hún verður varanleg

Yfirferðaraðili sem kemst ekki á VPN þarf tengil fyrir einn eftirmiðdag, og í kvöldið hefur framleiðsluþjónustan opinbert hýsingarheiti sem enginn man eftir að hafa samþykkt. Beiðnin var lítil; breytingin ekki. Tímabundin forskoðun er ný aðgangsleið með áhorfendum, gagnalið og lokatíma. Meðhöndlaðu hana eins og hverja aðra inngöngu, því orðið tímabundið lokar engu.

Tímabundið er tímalengd, ekki stjórn

Orðið tímabundið lýsir því hversu lengi eitthvað á að vera til, ekki hvað takmarkar það meðan það er til. Opinbert hýsingarheiti án gildistíma verður varanlegt á þeirri stundu sem sá sem bjó það til skiptir um teymi.

Áður en eitthvað er afhjúpað ættu þjónustueigandi og öryggiseigandi að samþykkja þrjá hluti: áhorfendurna, gögnin og tímalengdina.

Núverandi gesta-VPN eða yfirferðarumhverfi er oft einfaldara en að birta framleiðsluþjónustuna. Það hefur þegar eiganda, samþykkisleið og fjarlægingarferli. Að byggja nýja undantekningu fyrir einn eftirmiðdag er leiðin sem lítil beiðni verður varanleg eign. Byrjaðu á að spyrja hvort yfirferðin geti átt sér stað inni í einhverju sem þegar er til.

Birtu eina aðgerð, aldrei undirnet

Veldu minnstu inngönguna sem styður yfirferðina enn. Veldu frekar prófunarafrit með viðeigandi gögnum en framleiðslu, og auðkenndan framenda sem nær einni einkauppruna í stað hvaða undirnetsleiðar sem er.

Endurvarp með VPN-nálgun þarf ekki að birta allt einkaeindirnet og ætti alls ekki að birta stjórnviðmót gáttarinnar.

Nefndu reikningana sem fá að fara í gegn og aðgerðirnar sem þeir mega framkvæma. Takmörkun eftir upprunavistfangi þrengir vissulega hver getur tengst. Hún auðkennir ekki manneskju, því opinber vistföng eru sameiginleg og þau breytast.

Haltu eigin heimild forritsins eða skýrt traustri inngöngu sem þekkir auðkenni. Verndaðu niðurhal, API og stjórnslóðir, ekki aðeins lendingarsíðuna. Framendi sem lýkur TLS verður traust endapunktur, og einkaslóð á bak við hann gerir opinberan gest ekki að VPN-meðlim. Prófaðu útilokuðu slóðirnar jafn vandlega og lendingarsíðuna.

Auðkenni í framenda, ekki í upprunavistfangi

Reglur um upprunavistfang eru gagnlegar til að þrengja váhrif og gagnslausar til að sanna hver yfirferðaraðili er. Heimtengingar breytast, farsímanet deila vistföngum og starfsfélagi getur verið bak við sama NAT.

Proxy sem þekkir auðkenni eða innskráning forritsins sjálfs gefur þér ákvörðun fyrir hverja manneskju. Það er það sem gerir afturköllun mögulega síðar, því þú getur fjarlægt eitt auðkenni án þess að breyta netinu.

Haltu villuleit skírteinis virkri og lokaðu beinum aðgangi að upprunanum. Ef uppruninn er enn aðgengilegur frá internetinu er framendinn bara skraut.

Afturkallaðu réttinn og leiðina

Skráðu eiganda og nákvæman gildistíma í rekstrarkerfið sem fylgist þegar með aðgangi. Notaðu tímabundinn aðgang eða áætlaða fjarlægingu þar sem kerfið styður það, og bættu við athugun ef sjálfvirknin bregst.

Á umsömdum enda skal hætta notkun tímabundna framendans, leiðarheimildarinnar og réttar yfirferðaraðilans í gegnum eigendur þeirra. Núverandi lotur og langlifar tengingar þurfa eigin meðferð, því fjarlægð leið endar þær ekki.

Stutt DNS TTL er ekki aðgangsrennsli. Það breytir hversu lengi leysir geymir svarið. Það slökkvir ekki reikning, rýfur ekki lifandi lotu og lokar ekki porti sem enn hlustar.

Skyndiminnið afrit eru hluti af sama vandamáli. Að taka upprunaleiðina niður dregur ekki til baka skrá sem einhver hefur þegar vistað, og sameiginlegt skyndiminni getur þjónað afritum eftir að endurvarpinu er lokið. Veldu svar- og geymslustefnu áður en yfirferðin hefst.

Athugaðu að gamla leiðin sé raunverulega farin

Samþykki er ný beiðni sem mistekst, auk venjulegs VPN-vinnuflæðis sem virkar enn. Prófaðu bæði, því fjarlæging sem brýtur venjulegu leiðina er ekki hrein fjarlæging.

Staðfestu utan netsins að bæði heitið og uppruninn séu lokuð:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Haltu þröngri endurskoðunarskrá um hvað var samþykkt, hver gat náð því og hvenær það var fjarlægt. Sú skrá er munurinn á stýrðri undantekningu og óútskýrðu hýsingarheiti. Tímabundin forskoðun heppnast þegar hún veitir umbeðna yfirferð og hættir síðan að veita hana. Að URL hverfi úr spjallskilaboðum er ekki það próf.