Tímabundnir tenglar á IP-heimilistasna: hvað heimildin hleypir í raun inn

Að breyta einum smelli í tímabundna eldveggsreglu er þægilegt, og það byggir líka heimildarkerfi sem ákveður hver má ná í þjónustu. Það gefur út veffang en ekki manneskju, og sá munur skiptir máli á þeirri stundu þegar tveir deila einu NAT. Afmarkaðu umfang heimildarinnar, staðfestu hana af ásetningi og gefðu rúninni merkingu áður en tengillinn er byggður. Ákvörðunin sem liggur fyrir þér er hvar setja á mörkin, ekki hvort mörk eigi að vera til.

Ákveddu hvaða spurningu heimildin svarar

Byrjaðu á kröfunni. Ef nafngreind manneskja verður að ná í þjónustuna og forritið sannvottar þá manneskju þegar, heldur sannvottað hlið sjálfsmyndinni við framfylgdarstaðinn og þarf alls ekki að hleypa veffangi inn. Ef markið er byggingarþjónn, stjórnunarstökkport eða tæki sem getur ekki tekið þátt í innskráningu notanda, getur afmarkað veffangsleyfi verið eina hagnýta stjórnin sem tiltæk er.

Að velja veffangsleyfi fyrir forrit sem snýr að notendum færir hið raunverulega heimildarvandamál annað, og þá erfir gáttin sökina fyrir eyðu sem hún lokaði aldrei.

Afmarkaðu beiðnina á þjóninum

Vafrinn á ekki að velja áfangastaðinn, portið né forskeytið. Gáttin leysir þjónustuna úr eigin skrám og athugar réttinn með prófi á þjónshlið, sem er sama meginreglan og heimildarleiðbeiningar OWASP beita á hverja beiðni. Afleiðsla veffangsins tilheyrir einnig varðaða mörkunum: þegar öfugt milliþjónn tilkynnir veffang biðlarans skaltu aðeins samþykkja stilltu milliþjónakeðjuna og skjalfesta meðferð hennar á hausum. Framleiðsluhaus sem gestur leggur til er fullyrðing um uppruna, ekki sönnun fyrir honum.

Athugaðu svo að gáttin og þjónustan sjái sama uppruna. Skipt jarðgöng, eitt milliþjónsstökk og IPv4 á móti IPv6 geta gefið tveimur áfangastöðum tvö mismunandi vefföng, svo heimild sem virkjuð er af einni leið nær kannski ekki yfir næstu beiðni.

Sýndu heimildina áður en hún er sett upp

Að opna tengil ætti að sýna fyrirhugaða þjónustu, athugaðan uppruna og tímalengd, og ekki breyta neinu enn. Þetta eina skref breytir tenglinum úr tölvupóstinum úr aðgerð í tillögu, og það kemur í veg fyrir að forskoðunarbot eða póstskanni veiti aðgang bara með því að sækja hann.

Staðfestingin ætti að vera beiðni sem breytir stöðu með venjulegum vörnum gegn vefsvæðum og uppruna. Táknið ætti að vera einnota og eyðast á frumeindarhátt á þeirri stundu sem reglan er sett upp, og skráin ætti að geyma eiganda, þjónustu, veffang, auðkenni heimildar og rún án þess að skrá nokkurn tíma hráa táknið.

Afhending tákninsins á skilið sömu umhyggju og reglan sjálf. Tengill sem er runninn út eða þegar eytt og framleiðir samt reglu er önnur hurð með sama lykli.

Veffanginu er deilt jafnvel meðan heimildin lifir

Skrifstofu-NAT, NAT fjarskiptafyrirtækis og sameiginleg VPN-útgangur setja hvert nokkrar manneskjur bak við eitt veffang. Að hleypa því veffangi inn hleypir öllum bak við það inn — að því er varðar næstu mörk þjónustunnar —, án þess að sanna nokkuð um hver á reikninginn sem þjónustan væntir.

Að fjarlægja regluna er heldur ekki algilt rof. Komnar tengingar, táknum forrita í skyndiminni og langlífar lotur geta lifað regluna af í mínútur eða mun lengur, svo líftíminn sem þú velur ætti að endurspegla hvað þjónustan gerir eftir inngöngu, ekki bara hversu lengi reglan er til.

Prófaðu fjögur tilvik og báðar veffangaættir

Heimild er aðeins eins góð og þau fjögur tilvik sem hún stenst: ný leyfð beiðni, ósamþykktur beiðandi, endurtekning sama tengils og sama beiðni eftir rún.

Prófaðu svo hverja ætt fyrir sig, því upprunaveffangið sem þjónustan athugar getur verið mismunandi á milli þeirra.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

Nyttilega niðurstaðan er tímabundin, endurskoðanleg inngönguákvörðun undir venjulegri notendaheimild, frekar en varanleg opnun sem ber nafn þess sem smelti fyrstur.