Уақытша IP рұқсат тізімінің сілтемелері: рұқсат шын мәнінде нені жібереді

Бір басуды уақытша firewall ережесіне айналдыру қолайлы, әрі ол бір мезгілде қай пайдаланушы қызметке жете алатынын шешетін авторизация жүйесін құрады. Ол адамды емес, мекенжайды береді, және бұл айырмашылық екі адам бір NAT-ты бөліскен сәттен бастап маңызды. Рұқсаттың ауқымын шектеңіз, оны саналы түрде растаңыз және сілтеме құрылмай тұрып мерзімнің бітуіне мән беріңіз. Алдыңыздағы шешім — шекараны қайда қою, оның болуы керек пе-жоқ па емес.

Рұқсат қай сұраққа жауап беретінін шешіңіз

Талаптан бастаңыз. Егер аталған адам қызметке жетуі керек болса және қолданба сол адамды әлдеқашан аутентификацияласа, аутентификацияланған шлюз тұлғаны орындау нүктесінде ұстайды және мекенжайды жіберу мүлдем қажет емес. Егер мақсат — build-агент, әкімшілік секіру порты немесе пайдаланушы кіруіне қатыса алмайтын құрылғы болса, ауқымы шектелген мекенжай рұқсаты жалғыз практикалық бақылау болуы мүмкін.

Пайдаланушыға бағытталған қолданба үшін мекенжай жіберуін таңдау шынайы авторизация мәселесін басқа жерге жылжытады, содан кейін портал өзі ешқашан жабпаған олқылық үшін кінәні мұраға алады.

Сұранысты серверде шектеңіз

Браузер межелі орынды, портты немесе префиксті таңдамауы керек. Портал қызметті өз жазбаларынан анықтайды және құқықты сервер жағындағы тестпен тексереді, бұл OWASP-тың авторизация жөніндегі нұсқаулығы әрбір сұранысқа қолданатын сол қағидат. Мекенжайды шығару да қорғалған шекараға жатады: кері прокси клиент мекенжайын хабарлағанда, тек конфигурацияланған прокси тізбегін және оның құжатталған тақырып өңдеуін қабылдаңыз. Келуші ұсынған қайта бағыттау тақырыбы — шыққан тегі туралы мәлімдеме, оның дәлелі емес.

Содан кейін портал мен қызметтің бір көзді көретінін тексеріңіз. Бөлінген туннель, бір прокси секіруі және IPv4-тің IPv6-ға қарсылығы екі межелі орынға екі түрлі мекенжай бере алады, сондықтан бір жолдан белсендірілген рұқсат келесі сұранысты қамтымауы мүмкін.

Рұқсатты орнатпас бұрын көрсетіңіз

Сілтемені ашу ұсынылған қызметті, байқалған көзді және ұзақтықты көрсетуі керек және әзірге ештеңені өзгертпеуі тиіс. Дәл сол бір қадам электрондық поштадан келген сілтемені әрекеттен ұсынысқа айналдырады және алдын ала қарау ботының немесе пошта сканерінің оны жай ғана жүктеу арқылы рұқсат беруіне жол бермейді.

Растау күйді өзгертетін, әдеттегі сайтаралық және шығу тегі қорғаныстары бар сұраныс болуы керек. Токен бір реттік болуы және ереже орнатылған сәтте атомды түрде жұмсалуы керек, ал жазба иесін, қызметті, мекенжайды, рұқсат идентификаторын және мерзімін шикі токенді ешқашан журналдамай тіркеуі тиіс.

Токенді жеткізу ереженің өзіне қажетті қамқорлықты талап етеді. Мерзімі біткен немесе әлдеқашан жұмсалған сілтеме әлі де ереже жасайтын болса, ол сол кілтпен орнатылған екінші есік.

Рұқсат күшінде болған кезде де мекенжай ортақ

Кеңсе NAT-ы, оператор NAT-ы және ортақ VPN шығысының әрқайсысы бірнеше адамды бір мекенжайдың артына қояды. Ол мекенжайды жіберу оның артындағы барлығын жібереді — қызметтің келесі шекарасына қатысты —, сонымен бірге қызмет күтетін тіркелгі кімде екені туралы ештеңе дәлелдемейді.

Ережені алып тастау да әмбебап ажырату емес. Орнатылған қосылымдар, кэштелген қолданба токендері және ұзақ өмір сүретін сессиялар ережеден минуттармен немесе әлдеқайда ұзақ өмір сүре алады, сондықтан таңдаған өмірлік мерзім ереженің қанша уақыт болғанын емес, қызметтің рұқсаттан кейін не істейтінін көрсетуі керек.

Төрт жағдайды және мекенжайлардың екі тұқымын тексеріңіз

Рұқсат қанша жағдайға төтеп берсе, сонша жақсы: жаңа рұқсат етілген сұраныс, мақұлданбаған сұраныс иесі, сол сілтеменің қайталануы және мерзім біткеннен кейінгі сол сұраныс.

Содан кейін әр тұқымды бөлек тексеріңіз, өйткені қызмет байқайтын бастау мекенжайы олардың арасында өзгеше болуы мүмкін.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

Пайдалы нәтиже — қарапайым пайдаланушы авторизациясының астында тұрған уақытша, аудиттелетін рұқсат шешімі, ал бірінші басқан адамның атын алып жүрген тұрақты ашықтық емес.