Eng eenzeg URL fir Büro a VPN? Firwat de Mythos vun der Erlaabnislëscht feelt

Verbannt den Tunnel, maacht déiselwecht Lieszeechen op, an déi erlaabt Säit äntwert genee sou wéi se et vum Büro gemaach huet. Dat ass d’Unnam, op déi déi meescht Fernzougangspläng stëll bauen, an se hält nëmmen, soulaang dräi getrennte Saachen gläichzäiteg wouer bleiwen. Keng dovun ass eng Funktioun vum VPN-Client, an et kann een DNS-Andrag keng dovun ubidden. Wa Lieszeechen doheem feelt, gëtt de Browser Iech eng allgemeng Feeler, egal ob d’Ursaach eng fehlend Route, eng net guttgeheescht Sortieadress oder e Proxy ass, deen d’Quell ersat huet, déi en ugëtt. Déi dräi als ee Problem ze behandelen ass de Wee, op deem eng kleng Richtlinnskorrektur eng Woch vum Ausbau vun Erlaabnislëschte gëtt.

Den Design, dee Kontakt mat engem richtege Büro-Netzwierk iwwerlieft, ass méi schmuel wéi d’Unnam: eng explizit Entscheedungstabell mat dräi Zeilen, ee Punkt vun Duerchféierung, deen net ëmgaange ka ginn, an en Oflehnungstest, deen eppes beweist. D’Unnam ofzebauen kënnt als éischt, well alles duerno dovu ofhängt ze wëssen, wéi eng Schicht d’Quell falsch duerstellt.

De Mythos: verbannen ass net route

En Tunnel gëtt opgebaut, an de Client installéiert Route fir eng Rei Präfixen. Dat ass alles, wat Verbannen mécht. Ob eng onheemlech HTTPS-Ufro duerch den Tunnel reest, a vun wéi enger ëffentlecher Adress se schéngt ze kommen, wa se ukënnt, si Entscheedungen, déi spéider aner Komponente huelen: d’Routetabell wielt de Wee, an de Sortie wielt d’Quell.

Dofir geet de Büro an den Kichendësch mat deem selwechten Laptop, deem selwechte Browserprofil an deem selwechte Lieszeechen auserneen. Am Büro geet d’Ufro duerch eng ënnerhalen ëffentlech Adress eraus, déi den Operateur vun der Säit ugeholl huet. Duerch en kompletten Tunnel kann se duerch de VPN-Sortie erausgoen, wat eng aner Adress ass an, bis een se derbäisetzt, eng net guttgeheescht. Duerch en opgedeilten Tunnel kënnt se vläicht guer net an den Tunnel. Nëmmen zwou vun deenen dräi Weeë waren iwwerhaapt Deel vum Accord mat dem Besëtzer vun der Säit, an déi drëtt ass keen Defekt, deen een mat enger zousätzlecher allow-Zeil flickt.

Dräi Ufro-Zoustänn, zwou guttgeheescht Sortien

Schreift d’Matrix op, ier Dir eng Firewall beréiert, well d’Tabell ass den Design an d’Regel ass just eng Ëmsetzung dovun. D’Adressen hei ënnendrënner sinn Dokumentatiounsberäicher; ersetzt se duerch Är eege ënnerhalen Wäerter a versuergt se do, wou de Besëtzer vun der Säit se ka kontrolléieren.

D’Mëttelzeil ass do, wou déi meescht vun dëse Pläng briechen. Et zielt d’Adress, déi den Duerchféierungsapparat gesäit, net déi privat Adress, déi de Laptop am Tunnel huet, an net seng LAN-Adress. En Wäert wéi 10.8.0.6 bedeit näischt fir eng ëffentlech Säit, an 192.168.1.44 awer och net. D’Tunneladress ass en Adresséierungsdetail vum Tunnel, keen Ausweis, deen d’Säit ka kontrolléieren.

Wann Äre VPN kee stabile, dokumentéierte Sortie ka liwweren, huet d’Matrix keng gülteg Mëttelzeil an et erfënnt keng Quantitéit Erlaabnislëschten eng. Déi éierlech Optiounen zu deem Zäitpunkt sinn eng privat Säit, déi iwwer explizit privat Route erreecht gëtt, oder eng Zougangsportal, déi sech vun der Identitéit bewosst ass, virun der Applikatioun. Béid hunn en anere Kontrakt wéi eng ëffentlech Erlaabnislëscht, a béid si méi einfach engem Auditeur z’erklären wéi eng Lëscht, déi gewuess ass, bis se zoufälleg funktionéiert huet.

Liest d’Quell do, wou d’Entscheedung getraff gëtt

Setzt d’Aschränkung op den Apparat, deen d’Ufro ofschléisst, a bestätegt, datt keen alternativen Hierkonftswee se ëmgeet. Den Nginx-Zougangsmodul bewäert d’allow- an deny-Direktiven an der Rei, déi éischt Iwwereneestëmmung gewënnt, a Regele vun engem ëmschléissende Block gëllen nach ëmmer bannent location. En schmuelen allow nieft engem breeden allow op der selwechter Plaz bedeit meeschtens, datt de breede decidéiert. Liest déi ganz effektiv Konfiguratioun fir deen location, ier Dir eng eenzeg Zeil dovun ännert.

server {
    listen 443 ssl;
    server_name intranet.example.com;

    set_real_ip_from 10.20.0.10;
    real_ip_header X-Forwarded-For;
    real_ip_recursive on;

    location /app/ {
        allow 203.0.113.24;    # office public exit
        allow 198.51.100.77;   # approved VPN egress
        deny  all;
        proxy_pass http://app_backend;
    }
}

Hannert engem Belaaschtungsverdeeler oder engem ëmgekéierte Proxy gesäit déi Regel de Proxy, ausser Dir sot him anescht. Stellt d’Adress vum Urheber nëmmen duerch den ënnerstëtzten vertrauenswürdege Proxy-Mechanismus erëm hier, mat enger expliziter Lëscht vu Proxyadressen. En Ufrokapp, deen eng guttgeheescht Adress behaapt, ass kee Beweis, datt den Urheber se huet, an op engem ëffentleche Lauschterer mécht en net validéierten iwwerdroen App d’Erlaabnislëscht zu Dekoratioun.

Kontrolléiert duerno déi aner Adressfamill. En Reegelsatz, deen nëmmen IPv4 deckt, ass eng onkomplett Entscheedung fir en Hostnumm, deen och op AAAA äntwert, an e Client mat funktionéierendem IPv6 erreecht déiselwecht Applikatioun iwwer e Wee, deen Dir ni iwwerpréift hutt.

Opgedeilten Tunnel: d’Ufro, déi ni erakënnt

En opgedeilten Tunnel dréit nëmmen d’Präfixen op senger Lëscht. Intern Büro-Subnetzer stinn normalerweis op där Lëscht; eng ëffentlech Websäit net. De Browser léist den Numm, vergläicht déi gewielten Adress mat der Routetabell, a fënnt trotzdem de lokalen Standardgateway virun sech.

Sou kënnt d’Ufro vum Heemverband vum Benotzer, gëtt ofgelehnt, an de Bericht seet, de VPN sief futti, wärend den Tunnel genee dat mécht, woufir en konfiguréiert gouf. Zwou Korrekture si legitim: leet deen Zil duerch den Tunnel a loosst de guttgeheeschten Sortie en droen, oder akzeptéiert, datt d’Säit direkt erreecht gëtt, a gitt de Fernbenotzer en aneren guttgeheeschte Wee, wéi d’Zougangsportal. D’ëffentlech Erlaabnislëscht vun der Säit auszebaue bis eng Heemadress zoufälleg dran ass, ass weder dat engt nach dat anert, an et hëlt d’Grenz ewech, déi den Design sollt duerchsetzen. Déi éischt zwou halen d’Matrix éierlech; déi drëtt läscht stëll eng Zeil dovun.

Beweist d’Oflehnung, dann d’Erhuelung

Testt mat enger Ufro, déi déi richteg Entscheedung ausübt, vun engem Client, deen op all Zeil vun der Tabell steet. Eng Erreechbarkeetspréifung géint eng onheemlech Säit, déi d’Adress weist, beweist näischt, well deen Zil eng aner Route wéi d’Applikatioun ka huelen.

curl -sS -o /dev/null -w 'status=%{http_code}
' https://intranet.example.com/app/login
# repeat with the tunnel up, then with it down
tail -f /var/log/nginx/access.log | grep ' /app/'

Vergläicht den Zougangsrekord op der Grenz mat deem, wat d’Tabell virausgesot huet. Setzt duerno den Tunnel erof a maacht eng frësch Ufro, déi sollt ofgelehnt ginn; eng Säit, déi schonn gelueden ass, oder eng Verbindung, déi schonn oppen ass, test näischt. Wann keng Oflehnung erschéngt, ass de Punkt vun Duerchféierung net do, wou Dir mengt.

Hält d’Applikatiounsauthentifizéierung no der Netzwierkzouloossung, well eng Büro-Sortie an e VPN-Sortie alleng fir vill Leit stinn an et identifizéiert keng dovun eng Persoun. D’Instruktioun fir d’Benotzer bleift kuerz: hieft den guttgeheeschten Tunnel, da probéiert nach eng Kéier. Dat hält eng URL bequem, wärend d’Quellregel eng Entscheedung bleift an net eng Vermutung.