Түр зуурын IP зөвшөөрөгдсөн жагсаалтын холбоосууд: зөвшөөрөл үнэхээр юу нэвтрүүлдэг

Нэг товшилтыг түр зуурын галт ханын дүрэм болгох нь тохиромжтой бөгөөд энэ нь хэн үйлчилгээнд хүрч болохыг шийддэг зөвшөөрлийн системийг зэрэг бүрдүүлдэг. Энэ нь хүнийг биш, хаягийг олгодог бөгөөд энэ ялгаа нь хоёр хүн нэг NAT-ыг хуваалцах тэр мөчөөс эхлэн чухал болдог. Зөвшөөрлийн хүрээг хязгаарлаж, ухамсартайгаар баталгаажуулж, холбоос бүтэхээс өмнө хугацаа дуусахад утга оруулаарай. Таны өмнө байгаа шийдвэр бол хил хязгаарыг хаана тавих вэ, хил байх ёстой эсэх биш.

Зөвшөөрөл ямар асуултад хариулдагийг шийдээрэй

Шаардлагаас эхэл. Хэрэв нэрлэсэн хүн үйлчилгээнд хүрэх ёстой бөгөөд аппликейшн тэр хүнийг аль хэдийн баталгаажуулдаг бол баталгаажсан гарц нь таних мэдээллийг хэрэгжүүлэх цэг дээр хадгалж, хаягийн зөвшөөрөл огт шаардлагагүй. Хэрэв зорилго нь бүтээх агент, админ эрхтэй үсрэх порт эсвэл хэрэглэгчийн нэвтрэлтэд оролцож чадахгүй төхөөрөмж бол хязгаарлагдмал хүрээтэй хаягийн зөвшөөрөл нь цорын ганц практик хяналт байж болно.

Хэрэглэгчид хандах аппликейшнд хаягаар нэвтрүүлэхийг сонгох нь жинхэнэ зөвшөөрлийн асуудлыг өөр газар зөөж, дараа нь портал өөрөө хэзээ ч хаагаагүй цоорхойн бурууг өвлөнө.

Сервер дээр хүсэлтийг хязгаарла

Хөтөч нь очих газрыг, портыг эсвэл угтварыг сонгож болохгүй. Портал үйлчилгээг өөрийн бүртгэлээс тодорхойлж, эрхийг серверийн талын шалгалтаар баталгаажуулдаг; энэ нь OWASP-ын зөвшөөрлийн удирдамж бүх хүсэлтэд баримталдаг зарчимтай ижил юм. Хаягийг гаргаж авах нь мөн хамгаалагдсан хилд хамаарна: урвуу прокси клиентийн хаягийг мэдээлэх үед зөвхөн тохируулсан прокси гинжийг болон түүний баримтжуулсан толгой боловсруулалтыг хүлээн ав. Зочны өгсөн дамжуулах толгой нь гарал үүслийн тухай мэдэгдэл бөгөөд түүний нотолгоо биш.

Дараа нь портал болон үйлчилгээ ижил эх сурвалжийг харж байгаа эсэхийг шалга. Хуваагдсан туннель, нэг прокси үсрэлт болон IPv4 ба IPv6-ын ялгаа нь хоёр очих газарт хоёр өөр хаяг өгч болох тул нэг замаас идэвхжүүлсэн зөвшөөрөл дараагийн хүсэлтийг хамарч чадахгүй байж болно.

Суулгахаас өмнө зөвшөөрлийг харуул

Холбоос нээхэд санал болгож буй үйлчилгээ, ажиглагдсан эх сурвалж, хугацааг харуулах ёстой бөгөөд одоохондоо юу ч өөрчлөх ёсгүй. Тэр нэг алхам нь имэйлээр ирсэн холбоосыг үйлдлээс санал болгож хувиргаж, урьдчилан харах бот эсвэл шуудан сканнер түүнийг татаж авахад л хандалт өгөхөөс сэргийлдэг.

Баталгаажуулалт нь төлөв өөрчилдөг, ердийн хөндлөн сайт болон гарал үүслийн хамгаалалттай хүсэлт байх ёстой. Токен нь нэг удаагийн байх ёстой бөгөөд дүрэм суулгах тэр мөчид атом хэлбэрээр зарцуулагдах ёстой, бүртгэл нь эзэмшигч, үйлчилгээ, хаяг, зөвшөөрлийн танихууд болон хугацаа дуусахыг тэмдэглэх ёстой, түүхий токеныг хэзээ ч логт бичихгүй.

Токеныг хүргэх нь дүрэм өөрт нь хэрэгтэй адил анхаарал шаарддаг. Хугацаа дууссан эсвэл аль хэдийн зарцуулагдсан холбоос одоо ч дүрэм үүсгэдэг бол энэ нь ижил түлхүүрээр суулгасан хоёр дахь хаалга юм.

Зөвшөөрөл хүчинтэй байх хугацаанд ч хаяг хуваалцдагдана

Оффисын NAT, операторын NAT болон хуваалцсан VPN гаралт тус бүр хэд хэдэн хүнийг нэг хаягийн ард тавьдаг. Тэр хаягийг нэвтрүүлэх нь түүний ард байгаа бүгдийг нэвтрүүлэх юм — үйлчилгээний дараагийн хил хязгаарын хувьд —, үйлчилгээний хүлээж буй бүртгэл хэний мэдэлд байгааг юу ч нотолохгүй.

Дүрмийг арилгах нь бас бүх нийтийн таслалт биш. Тогтоосон холболт, кэшлэсэн аппликейшны токен болон урт наст сессүүд дүрмээс хэдэн минут эсвэл хамаагүй илүү удаан амьдарч болох тул сонгосон насжилт нь дүрэм хэдий хугацаанд оршин байгааг бус, зөвшөөрлийн дараа үйлчилгээ юу хийдгийг илэрхийлэх ёстой.

Дөрвөн тохиолдол болон хоёр хаягийн бүлгийг шалга

Зөвшөөрөл нь тэсвэрлэж чадах дөрвөн тохиолдолын хэмжээнд л сайн: шинээр зөвшөөрөгдсөн хүсэлт, зөвшөөрөгдөөгүй хүсэлт гаргагч, ижил холбоосын давталт, хугацаа дууссаны дараах ижил хүсэлт.

Дараа нь бүлэг бүрийг тус тусад нь шалга, учир нь үйлчилгээний ажиглаж буй эх хаяг тэдгээрийн хооронд ялгаатай байж болно.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

Ашигтай үр дүн нь энгийн хэрэглэгчийн зөвшөөрлийн дор байх түр зуурын, аудитад орох нэвтрүүлэлтийн шийдвэр бөгөөд эхэлж товшсон хүний нэрийг агуулсан байнгын нээлт биш.