Uždarykite laikiną peržiūrą, kol ji netapo nuolatine

Recenzentui, kuris negali prisijungti prie VPN, reikia nuorodos vienai popietei, o iki vakaro gamybinė paslauga turi viešą pagrindinio kompiuterio vardą, kurį patvirtino, bet niekas to neprisimena. Užklausa buvo maža; pakeitimas – ne. Laikina peržiūra yra naujas prieigos kelias su auditorija, duomenų apimtimi ir pabaigos laiku. Elkitės su ja kaip su bet kuriuo kitu įėjimu, nes žodis laikinas nieko neuždaro.

Laikinas yra trukmė, o ne kontrolė

Žodis laikinas apibūdina, kiek laiko kažkas turėtų egzistuoti, o ne tai, kas jį riboja, kol jis egzistuoja. Viešas pagrindinio kompiuterio vardas be galiojimo pabaigos tampa nuolatinis tą akimirką, kai jį sukūręs asmuo pakeičia komandą.

Prieš ką nors atskleidžiant, paslaugos savininkas ir saugumo savininkas turėtų patvirtinti tris dalykus: auditoriją, duomenis ir trukmę.

Esama svečio VPN ar peržiūros aplinka dažnai yra paprastesnė nei gamybinės paslaugos publikavimas. Ji jau turi savininką, patvirtinimo kelią ir pašalinimo procesą. Naujos išimties vienai popietei kūrimas yra būdas, kuriuo maža užklausa tampa nuolatiniu turtu. Pradėkite nuo klausimo, ar peržiūra gali vykti kažko, kas jau egzistuoja, viduje.

Paskelbkite vieną operaciją, niekada potinklį

Pasirinkite mažiausią įėjimą, kuris dar palaiko peržiūrą. Pirmenybę teikite bandymo kopijai su tinkamais duomenimis, o ne gamybai, ir autentifikuotai sąsajai, kuri pasiekia vieną privatų šaltinį, o ne bet kokį potinklio maršrutą.

Relė, turinti VPN pasiekiamumą, neprivalo skelbti viso privataus potinklio ir tikrai neturėtų skelbti tinklo vartų administravimo sąsajos.

Įvardykite paskyras, kurioms leidžiama praeiti, ir veiksmus, kuriuos jos gali atlikti. Apribojimas pagal šaltinio IP tikrai susiaurina, kas gali prisijungti. Tačiau jis neatpažįsta asmens, nes vieši adresai yra bendri ir keičiasi.

Išsaugokite pačios programos autorizaciją arba aiškiai patikimą tapatybę suprantantį įėjimą. Apsaugokite atsisiuntimus, API ir administracinius kelius, o ne tik nukreipimo puslapį. Sąsaja, kuri užbaigia TLS, tampa patikimu galiniu tašku, o privatus maršrutas už jos nepaverčia viešo lankytojo VPN nariu. Išbandykite išskirtus kelius taip pat kruopščiai kaip nukreipimo puslapį.

Tapatybė sąsajoje, o ne šaltinio adrese

Šaltinio IP taisyklės naudingos mažinant ekspoziciją ir nenaudingos įrodant, kas yra recenzentas. Namų ryšiai keičiasi, mobilieji tinklai dalijasi adresais, o kolega gali būti už to paties NAT.

Tapatybę suprantantis tarpinis serveris arba pačios programos prisijungimas suteikia sprendimą kiekvienam asmeniui. Būtent tai vėliau leidžia atšaukti, nes galite pašalinti vieną tapatybę nekeisdami tinklo.

Palikite sertifikatų tikrinimą įjungtą ir blokuokite tiesioginę prieigą prie šaltinio. Jei šaltinis vis dar pasiekiamas iš interneto, sąsaja yra tik dekoracija.

Atšaukite teisę ir maršrutą

Užrašykite savininką ir tikslią galiojimo pabaigą operacinėje sistemoje, kuri jau seka prieigą. Naudokite laiku apribotą prieigą arba suplanuotą pašalinimą ten, kur platforma tai palaiko, ir pridėkite patikrinimą, jei automatizavimas nepavyktų.

Sutartą pabaigą panaikinkite laikiną sąsają, maršruto leidimą ir recenzento teisę per jų savininkus. Esamos sesijos ir ilgalaikiai ryšiai reikalauja atskiro apdorojimo, nes pašalintas maršrutas jų nebaigia.

Trumpas DNS TTL nėra prieigos pabaiga. Jis keičia, kiek laiko sprendėjas laiko atsakymą. Jis neišjungia paskyros, nenutraukia gyvos sesijos ir neuždaro prievado, kuris vis dar klausosi.

Talpykloje saugomos kopijos yra tos pačios problemos dalis. Šaltinio kelio išjungimas neatgauna failo, kurį kažkas jau išsaugojo, o bendra talpykla gali tiekti kopijas po to, kai relė išnyko. Pasirinkite atsakymo ir saugojimo politiką prieš prasidedant peržiūrai.

Patikrinkite, ar senasis kelias tikrai išnyko

Priėmimas yra nauja užklausa, kuri nepavyksta, plius įprastas VPN darbo procesas vis dar veikia. Išbandykite abu, nes pašalinimas, kuris sugriauna įprastą kelią, nėra švarus pašalinimas.

Iš už tinklo patvirtinkite, kad ir vardas, ir šaltinis yra uždaryti:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Veskite siaurą audito įrašą apie tai, kas buvo patvirtinta, kas galėjo pasiekti ir kada buvo pašalinta. Tas įrašas yra skirtumas tarp kontroliuojamos išimties ir nepaaiškinto pagrindinio kompiuterio vardo. Laikina peržiūra pavyksta, kai ji suteikia prašomą peržiūrą ir tada nustoja ją teikti. URL išnykimas iš pokalbio žinutės nėra tas testas.