დახურეთ დროებითი გადახედვა, სანამ ის მუდმივი გახდება

მიმომხილველს, რომელიც VPN-ს ვერ უერთდება, სჭირდება ბმული ერთი შუადღისთვის, და საღამომდე წარმოების სერვისს აქვს საჯარო ჰოსტის სახელი, რომლის დამტკიცება არავის ახსოვს. მოთხოვნა პატარა იყო; ცვლილება არა. დროებითი გადახედვა არის ახალი წვდომის გზა აუდიტორიით, მონაცემთა მოცულობით და დასრულების დროით. მოექეცით მას როგორც ნებისმიერ სხვა შესასვლელს, რადგან სიტყვა დროებითი არაფერს ხურავს.

დროებითი ხანგრძლივობაა, არა კონტროლი

სიტყვა დროებითი აღწერს, რამდენ ხანს უნდა არსებობდეს რაღაც, და არა რა ზღუდავს მას, სანამ ის არსებობს. საჯარო ჰოსტის სახელი ვადის გარეშე მუდმივი ხდება იმ მომენტში, როცა მისი შემქმნელი გუნდს იცვლის.

სანამ რამე გამოჩნდება, სერვისის მფლობელმა და უსაფრთხოების მფლობელმა სამი რამ უნდა დაამტკიცონ: აუდიტორია, მონაცემები და ხანგრძლივობა.

არსებული სტუმრის VPN ან მიმოხილვის გარემო ხშირად უფრო მარტივია, ვიდრე წარმოების სერვისის გამოქვეყნება. მას უკვე აქვს მფლობელი, დამტკიცების გზა და წაშლის პროცესი. ერთი შუადღისთვის ახალი გამონაკლისის აგება ის გზაა, რომლითაც პატარა მოთხოვნა მუდმივ აქტივად იქცევა. დაიწყეთ კითხვით, შეიძლება თუ არა მიმოხილვა მოხდეს უკვე არსებული რაღაცის შიგნით.

გამოაქვეყნეთ ერთი ოპერაცია, არასოდეს ქვექსელი

აირჩიეთ ყველაზე პატარა შესასვლელი, რომელიც ჯერ კიდევ უჭერს მხარს მიმოხილვას. ამჯობინეთ შესაბამისი მონაცემებით სატესტო ასლი წარმოების ნაცვლად, და ავტორიზებული ფრონტენდი, რომელიც ერთ კერძო წყაროს აღწევს, ნებისმიერი ქვექსელის მარშრუტის ნაცვლად.

VPN-ის ხელმისაწვდომობის მქონე რელეს არ უნდა გამოაქვეყნოს მთელი კერძო ქვექსელი და, რა თქმა უნდა, არ უნდა გამოაქვეყნოს კარიბჭის ადმინისტრაციული ინტერფეისი.

დაასახელეთ ანგარიშები, რომლებსაც გავლის უფლება აქვთ, და მოქმედებები, რომელთა შესრულებაც შეუძლიათ. წყარო IP-ით შეზღუდვა ნამდვილად ავიწროებს, ვის შეუძლია დაკავშირება. თუმცა ის არ აიდენტიფიცირებს ადამიანს, რადგან საჯარო მისამართები საერთოა და იცვლება.

შეინარჩუნეთ აპლიკაციის საკუთარი ავტორიზაცია ან ცხადად სანდო იდენტობის მცოდნე შესასვლელი. დაიცავით ჩამოტვირთვები, API-ები და ადმინისტრაციული ბილიკები, და არა მხოლოდ სადესანტო გვერდი. TLS-ს რომ ამთავრებს ფრონტენდი, სანდო ბოლო წერტილი ხდება, და მის უკან არსებული კერძო მარშრუტი საჯარო ვიზიტორს VPN-ის წევრად არ აქცევს. შეამოწმეთ გამორიცხული ბილიკები ისე ფრთხილად, როგორც სადესანტო გვერდი.

იდენტობა ფრონტენდზე, არა წყაროს მისამართზე

წყარო IP-ის წესები სასარგებლოა ზემოქმედების შესავიწროებლად და უსარგებლო იმის დასამტკიცებლად, თუ ვინ არის მიმომხილველი. სახლის კავშირები იცვლება, მობილური ქსელები მისამართებს იზიარებენ, და კოლეგა შეიძლება იმავე NAT-ის უკან იყოს.

იდენტობის მცოდნე პროქსი ან აპლიკაციის საკუთარი შესვლა გაძლევთ გადაწყვეტილებას თითო ადამიანზე. სწორედ ეს ხდის შესაძლებელს მოგვიანებით გაუქმებას, რადგან შეგიძლიათ ერთი იდენტობა მოხსნათ ქსელის შეცვლის გარეშე.

დატოვეთ სერტიფიკატის ვალიდაცია ჩართული და დაბლოკეთ პირდაპირი წვდომა წყაროზე. თუ წყარო ჯერ კიდევ ხელმისაწვდომია ინტერნეტიდან, ფრონტენდი მხოლოდ დეკორაციაა.

გააუქმეთ უფლება და მარშრუტი

ჩაწერეთ მფლობელი და ზუსტი ვადა ოპერაციულ სისტემაში, რომელიც უკვე აკონტროლებს წვდომას. გამოიყენეთ დროით შეზღუდული წვდომა ან დაგეგმილი წაშლა, სადაც პლატფორმა ამას მხარს უჭერს, და დაამატეთ შემოწმება იმ შემთხვევაში, თუ ავტომატიზაცია ჩავარდება.

შეთანხმებულ დასასრულს, მფლობელების მეშვეობით შეწყვიტეთ დროებითი ფრონტენდი, მარშრუტის ნებართვა და მიმომხილველის უფლება. არსებულ სესიებს და ხანგრძლივ კავშირებს საკუთარი დამუშავება სჭირდება, რადგან წაშლილი მარშრუტი მათ არ ამთავრებს.

მოკლე DNS TTL არ არის წვდომის ვადის გასვლა. ის ცვლის, რამდენ ხანს ინახავს გამხსნელი პასუხს. ის არ გამორთავს ანგარიშს, არ წყვეტს ცოცხალ სესიას და არ ხურავს პორტს, რომელიც ჯერ კიდევ ისმენს.

ქეშირებული ასლები იმავე პრობლემის ნაწილია. წყაროს ბილიკის ჩამორთმევა უკან არ იბრუნებს ფაილს, რომელიც ვინმემ უკვე შეინახა, და საერთო ქეში შეიძლება ასლები მოემსახუროს მას შემდეგ, რაც რელე გაქრა. აირჩიეთ პასუხის და შენახვის პოლიტიკა მიმოხილვის დაწყებამდე.

შეამოწმეთ, რომ ძველი გზა ნამდვილად გაქრა

მიღება არის ახალი მოთხოვნა, რომელიც ვერ სრულდება, პლუს VPN-ის ჩვეულებრივი სამუშაო პროცესი კვლავ მუშაობა. შეამოწმეთ ორივე, რადგან ჩვეულებრივი გზის დამტვრევა სუფთა წაშლა არ არის.

ქსელის გარედან დაადასტურეთ, რომ სახელი და წყარო ორივე დახურულია:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

შეინახეთ ვიწრო აუდიტის ჩანაწერი იმის შესახებ, თუ რა დამტკიცდა, ვის შეეძლო მისი მიღწევა და როდის წაიშალა. სწორედ ეს ჩანაწერია განსხვავება კონტროლირებულ გამონაკლისსა და აუხსნელ ჰოსტის სახელს შორის. დროებითი გადახედვა წარმატებულია, როცა ის იძლევა მოთხოვნილ მიმოხილვას და შემდეგ წყვეტს მის მიცემას. URL-ის გაქრობა ჩატის შეტყობინებიდან ეს ტესტი არ არის.