Eitt URL fyrir skrifstofuna og VPN? Hvers vegna goðsögnin um leyfða listann fellur

Tengdu göngin, opnaðu sama bókamerkið, og leyfða vefsíðan svarar nákvæmlega eins og hún gerði frá skrifstofunni. Þetta er forsendan sem flestar áætlanir um fjartengingu hvíla hljóðlega á, og hún stendur aðeins svo lengi sem þrjú aðskilin atriði eru sönn á sama tíma. Ekkert þeirra er eiginleiki VPN-biðlara, og engin DNS-færsla getur veitt eitt þeirra. Þegar bókamerkið bregst heima gefur vafrinn þér eina almenn villu, hvort sem orsökin er slóð sem vantar, ósamþykkt útleiðarfang eða milliþjónn sem skipti út upprunanum sem hann tilkynnir. Að meðhöndla þessi þrjú sem eitt vandamál er leiðin sem lítil stefnuleiðrétting verður að viku af útvíkkun leyfðra lista.

Hönnunin sem lifir snertingu við raunverulegt skrifstofunet er þrengri en forsendan: skýr ákvörðunartafla með þremur línum, einn framfylgni punktur sem ekki er hægt að komast hjá, og synjunarpróf sem sannar eitthvað. Að taka forsenduna í sundur kemur fyrst, því allt sem á eftir kemur byggir á að vita hvaða lag setur upprunann fram á rangan hátt.

Goðsögnin: að tengjast er ekki að beina

Göng eru komin á og biðlarinn setur upp slóðir fyrir einhvert mengi forskeyta. Það er allt sem að tengjast gerir. Hvort ótengd HTTPS-beiðni fer í gegnum göngin, og frá hvaða opinberu vistfangi hún virðist koma þegar hún berst, eru ákvarðanir sem aðrir hlutar taka síðar: beiningartaflan velur slóðina og útleiðin velur upprunann.

Þess vegna skilja skrifstofan og eldhúsborðið á sig með sama fartölvunni, sama vafrasniði og sama bókamerki. Á skrifstofunni fer beiðnin út um viðhaldið opinbert vistfang sem rekstraraðili vefsíðunnar samþykkti. Í gegnum full göng getur hún farið út um VPN-útleiðina, sem er annað vistfang og, þangað til einhver bætir henni við, ósamþykkt. Í gegnum klofin göng kemur hún kannski aldrei inn í göngin. Aðeins tvær af þessum þremur leiðum voru nokkurn tíma hluti samkomulagsins við eiganda vefsíðunnar, og sú þriðja er ekki galli sem á að bæta með auka allow-línu.

Þrjú beiðniástand, tvær samþykktar útleiðir

Skrifaðu fylkið niður áður en þú snertir eldvegg, því taflan er hönnunin og reglan er aðeins ein útfærsla hennar. Vistfangin hér að neðan eru skjölunarbil; skiptu þeim út fyrir þín eigin viðhaldnu gildi og geymdu þau þar sem eigandi vefsíðunnar getur skoðað þau.

Miðlína er þar sem flestar þessara áætlana brotna. Það sem skiptir máli er vistfangið sem framfylgningartækið sér, ekki einkavistfangið sem fartölvan heldur inni í göngunum og ekki LAN-vistfang hennar. Gildi eins og 10.8.0.6 þýðir ekkert fyrir opinbera vefsíðu, og 192.168.1.44 ekki heldur. Vistfang ganga er smáatriði í vistfangsstýringu ganganna, ekki skírteini sem vefsíðan getur staðfest.

Ef VPN-ið þitt getur ekki veitt stöðuga, skjalfesta útleið hefur fylkið enga gilda miðlínu og engin fjöldi leyfðra lista finnur eina upp. Heiðarlegu valkostirnir á þeim tímapunkti eru einkavefsíða sem næst um skýrar einkaslóðir, eða aðgangsgátt sem er meðvituð um auðkenni fyrir framan forritið. Báðar hafa annan samning en opinber leyfður listi, og báðar eru auðveldari að útskýra fyrir endurskoðanda en listi sem stækkaði þangað til hann virkaði fyrir tilviljun.

Lestu upprunann þar sem ákvörðunin er tekin

Settu takmörkunina á tækið sem lýkur beiðninni, og staðfestu að engin önnur upprunaslóð fari fram hjá henni. Nginx-aðgangseining metur allow- og deny-leiðbeiningar í röð, fyrsta samsvörun vinnur, og reglur sem erft eru frá umlykjandi blokki gilda áfram inni í location. Þröngt allow við hlið breiðs allow á sama stað þýðir venjulega að hið breiða ráði. Lestu alla virku stillinguna fyrir það location áður en þú breytir einni einustu línu hennar.

server {
    listen 443 ssl;
    server_name intranet.example.com;

    set_real_ip_from 10.20.0.10;
    real_ip_header X-Forwarded-For;
    real_ip_recursive on;

    location /app/ {
        allow 203.0.113.24;    # office public exit
        allow 198.51.100.77;   # approved VPN egress
        deny  all;
        proxy_pass http://app_backend;
    }
}

Á bak við hleðsludreifingu eða öfugan milliþjón sér sú regla milliþjóninn nema þú segir honum annað. Endurheimtu vistfang kallarans aðeins í gegnum studda trausta-milliþjóns aðferð, með skýrum lista yfir milliþjónsvistföng. Beiðnahaus sem segist bera samþykkt vistfang er ekki sönnun þess að kallarinn eigi það, og á opinberum hlustanda gerir óstaðfestur framsendur haus leyfða listann að skrauti.

Athugaðu svo hina vistfangsfjölskylduna. Reglusett sem nær aðeins yfir IPv4 er ófullkomin ákvörðun fyrir hýsingarheiti sem svarar líka á AAAA, og biðlari með virkt IPv6 nær sama forriti eftir slóð sem þú hefur aldrei farið yfir.

Klofin göng: beiðnin sem kemst aldrei inn

Klofin göng bera aðeins forskeytin á listanum sínum. Innri skrifstofunet eru venjulega á þeim lista; opinber vefsíða ekki. Vafrinn leysir heitið, ber saman valið vistfang við beiningartöfluna og finnur samt staðbundna sjálfgefna gáttina fyrir framan sig.

Þannig kemur beiðnin frá heimanetstengingu notandans, er hafnað, og skýrslan segir að VPN-ið sé bilað á meðan göngin gera nákvæmlega það sem þau voru stillt til að gera. Tvær lagfæringar eru lögmætar: beindu þeim áfangastað í gegnum göngin og láttu samþykktu útleiðina bera hann, eða samþykktu að vefsíðan næst beint og gefðu fjarnotendum aðra samþykkta slóð, svo sem aðgangsgáttina. Að útvíkka opinbera leyfða listann þangað til heimavistfang lendir fyrir tilviljun inni er hvorugt, og það fjarlægir mörkin sem hönnunin átti að framfylgja. Fyrstu tvær halda fylkinu heiðarlegu; sú þriðja eyðir hljóðlega línu úr því.

Sannaðu synjunina, svo endurheimtuna

Prófaðu með beiðni sem virkjar raunverulegu ákvörðunina, frá biðlara sem stendur á hverri línu töflunnar. Aðgengispróf gegn einhverri óviðkomandi síðu sem sýnir vistfang sannar ekkert, því sá áfangastaður getur farið aðra slóð en forritið.

curl -sS -o /dev/null -w 'status=%{http_code}
' https://intranet.example.com/app/login
# repeat with the tunnel up, then with it down
tail -f /var/log/nginx/access.log | grep ' /app/'

Berðu saman aðgangsskrána á mörkunum við það sem taflan spáði. Lækkaðu svo göngin og gerðu nýja beiðni sem ætti að vera hafnað; síða sem er þegar hlaðin, eða tenging sem er þegar opin, prófar ekkert sem er. Ef engin synjun birtist er framfylgnipunkturinn ekki þar sem þú heldur.

Haltu auðkenningu forritsins eftir netinngöngu, því skrifstofuútleið og VPN-útleið standa hvor um sig fyrir marga einstaklinga og hvorug greinir einstakling. Leiðbeiningin til notenda helst stutt: ræstu samþykktu göngin og reyndu svo aftur. Það er það sem heldur einu URL þægilegu á meðan upprunareglan helst ákvörðun en ekki ágiskun.