Убактылуу IP уруксат тизмесинин шилтемелери: уруксат чындыгында эмнени киргизет

Бир басууну убактылуу firewall эрежесине айландыруу ыңгайлуу, жана ал ошол эле учурда ким кызматка жете аларын чечкен авторизация системасын курат. Ал адамды эмес, даректи берет, жана бул айырма эки адам бир NATты бөлүшкөн учурдан тартып маанилүү. Уруксаттын аймагын чектеңиз, аны аң-сезимдүү ырастаңыз жана шилтеме курулганга чейин мөөнөттүн бүтүшүнө маани бергиле. Алдыңыздагы чечим — чекти кайда коюу, анын болушу керекпи же жокпу эмес.

Уруксат кайсы суроого жооп берерин чечиңиз

Талаптан баштаңыз. Эгер аталган адам кызматка жетүүгө тийиш болсо жана колдонмо ошол адамды мурунтан аутентификацияласа, аутентификацияланган шлюз инсандыкты аткаруу пунктунда кармайт жана даректи киргизүү таптакыр керек эмес. Эгер максат build-агент, административдик секирүү порту же колдонуучунун кирүүсүнө катыша албаган түзүлүш болсо, чектелген аймактагы дарек уруксаты жалгыз практикалык көзөмөл болушу мүмкүн.

Колдонуучуга багытталган колдонмо үчүн дарек киргизүүнү тандоо чыныгы авторизация көйгөйүн башка жерге жылдырат, анан портал өзү эч качан жаппаган кемчилик үчүн айыпты мураска алат.

Сурамды серверде чектеңиз

Браузер бара турган жерди, портту же префиксти тандабашы керек. Портал кызматты өз жазууларынан аныктайт жана укукту сервер тараптагы тест менен текшерет, бул OWASPтын авторизация боюнча нускамасы ар бир сурамга колдонгон ошол эле принцип. Даректи чыгаруу да корголгон чекке таандык: тескери прокси кардардын дарегин билдиргенде, конфигурацияланган прокси тизмегин жана анын документтелген аталыштарды иштетүүсүн гана кабыл алыңыз. Конок берген багыттоо аталышы келип чыгышы тууралуу билдирүү, анын далили эмес.

Андан кийин портал менен кызмат бир эле булакты көрөрүн текшериңиз. Бөлүнгөн туннель, бир прокси секирүү жана IPv4түн IPv6га каршылыгы эки бара турган жерге эки башка дарек бериши мүмкүн, ошондуктан бир жолдон активдештирилген уруксат кийинки сурамды камтыбашы мүмкүн.

Орнотуудан мурун уруксатты көрсөтүңүз

Шилтемени ачуу сунушталган кызматты, байкалган булакты жана узактыкты көрсөтүшү керек жана азырынча эч нерсени өзгөртпөшү керек. Ошол эле кадам электрондук почтадан келген шилтемени аракеттен сунушка айландырат жана алдын ала көрүү ботунун же почта сканеринин аны жөн гана жүктөө менен уруксат беришине жол бербейт.

Ырастоо абалды өзгөртүүчү, кадимки сайтаралык жана келип чыгыш коргоолору бар сурам болушу керек. Токен бир жолу колдонулуучу болушу жана эреже орнотулган учурда атомдук түрдө сарпталышы керек, ал эми жазуу ээсин, кызматты, даректи, уруксат идентификаторун жана мөөнөттү чийки токенди эч качан журналдабастан жазып алышы керек.

Токенди жеткирүү эреженин өзүнө керектүү камкордукту талап кылат. Мөөнөтү бүткөн же мурун сарпталган шилтеме дагы эле эреже жаратса, ал ошол эле ачкыч менен орнотулган экинчи эшик.

Уруксат күчүндө турганда да дарек жалпы

Кеңсе NATы, оператордун NATы жана жалпы VPN чыгымы ар бири бир нече адамды бир даректин артына коёт. Ошол даректи киргизүү анын артындагы бардыгын киргизет — кызматтын кийинки чегине келгенде —, ошол эле учурда кызмат күткөн эсеп кимде экени тууралуу эч нерсени далилдебейт.

Эрежени алып салуу да универсалдуу ажыратуу эмес. Түзүлгөн байланыштар, кэштештирилген колдонмо токендери жана узак өмүр сүргөн сессиялар эрежеден мүнөттөр менен же андан кыйла узак жашашы мүмкүн, ошондуктан тандалган өмүр эреженин канча убакыт бар экенин эмес, кызматтын уруксаттан кийин эмне кыларын чагылдырышы керек.

Төрт учурду жана эки дарек үй-бүлөсүн текшериңиз

Уруксат канча учурга чыдаса, ошончо гана жакшы: жаңы уруксат берилген сурам, уруксат берилбеген сурам ээси, ошол эле шилтеменин кайталанышы жана мөөнөт бүткөндөн кийинки ошол эле сурам.

Андан кийин ар бир үй-бүлөнү өз-өзүнчө текшериңиз, анткени кызмат байкаган булак дареги алардын ортосунда айырмаланышы мүмкүн.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

Пайдалуу натыйжа — кадимки колдонуучу авторизациясынын астында турган убактылуу, аудиттүү уруксат чечими, биринчи баскан адамдын атын алып жүргөн туруктуу ачыктык эмес.