VPN मागील SaaS प्रशासन क्षेत्र: कोणत्या पत्त्यावर विश्वास ठेवावा?

सार्वजनिक SaaS पाने सर्वांसाठी खुली राहू शकतात, तर त्यांच्या मागील प्रशासन ऑपरेशन्स VPN बाहेरील प्रत्येकाला नाकारतात। हे शक्य करणारी यंत्रणा लपलेले मेनू किंवा वेगळे लॉगिन पान नाही; ती विनंती पोहोचवणाऱ्या नेटवर्क मार्गाची तपासणी आहे। पत्त्याचा पुरावा चुकला तर तपासणी एकतर खरे प्रशासक बाहेर ठेवते किंवा हेडर टाइप करू शकणाऱ्या कोणालाही आत घेते। उगमाला प्रत्यक्षात काय मिळते यापासून सुरुवात करा।

टनेलनंतर उगमाला प्रत्यक्षात काय मिळते

जेव्हा ब्राउझर इंटरनेट रहदारीही वाहून नेणाऱ्या VPN मधून सार्वजनिक साइटवर पोहोचतो, तेव्हा गेटवे बाहेर पडण्यापूर्वी कनेक्शनचे भाषांतर करते। SaaS गेटवेचा सार्वजनिक एग्रेस पत्ता पाहते, सामान्यतः एक पत्ता किंवा लहान श्रेणी, आणि लॅपटॉपचा टनेल पत्ता कधीही पाहत नाही। म्हणूनच 10.90.0.42 अनुमत यादीत टाकणे अयशस्वी होते, आणि म्हणूनच संपूर्ण RFC 1918 टाकणे आणखी मोठ्याने अयशस्वी होते: दुसरे तुमच्यापर्यंत पोहोचू शकणाऱ्या प्रत्येक खाजगी नेटवर्कला आत घेते। अट लावण्यासारखा एकमेव पत्ता म्हणजे तुमची संस्था एक्झिटवर प्रत्यक्षात जो पत्ता धारण करते तो।

curl -s https://ifconfig.me
dig +short admin.example.com

विभाजित टनेलिंग हे गृहीतक शांतपणे मोडते। VPN फक्त खाजगी कार्यालयीन मार्ग वाहून नेल्यास, सार्वजनिक प्रशासन होस्टनावाची विनंती स्थानिक ISP मधून बाहेर पडते आणि उगमाला निवासी पत्ता दिसतो। जोडलेले VPN चिन्ह या विशिष्ट गंतव्याबद्दल काहीही सिद्ध करत नाही, म्हणून टनेल नाही, गंतव्य तपासा।

एक्झिट पत्ता वापरकर्त्यानुसार बदलत असल्यास कोणतेही धोरण लिहिण्यापूर्वी थांबा आणि राउटिंग दुरुस्त करा। फक्त काही प्रशासकांशी जुळणारी अट अट नसण्यापेक्षा वाईट आहे, कारण ती घटना होईपर्यंत समस्या लपवते।

फक्त पत्ता पुन्हा लिहिणाऱ्या प्रॉक्सीवर विश्वास ठेवा

बहुतेक सार्वजनिक साइट CDN किंवा रिव्हर्स प्रॉक्सीच्या मागे असतात, त्यामुळे उगमाचा सॉकेट पत्ता अभ्यागताचा नाही, त्या फ्रंटएंडचा असतो। फ्रंटएंड सामान्यतः मूळ पत्ता हेडरमध्ये पुढे पाठवते, आणि उगमाने तो फक्त ज्ञात प्रॉक्सींकडून स्वीकारला नाही तर तो हेडर हल्लेखोराच्या नियंत्रणात असतो। विश्वासार्ह स्रोतांची यादी स्पष्टपणे कॉन्फिगर करा आणि उगम इतर कोठूनही पोहोचू न देणारा करा। त्या दुसऱ्या अर्ध्याशिवाय हल्लेखोर प्रॉक्सी वगळून हेडर थेट पाठवतो।

set_real_ip_from 192.0.2.0/24;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
curl -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin

तेच तर्क PROXY प्रोटोकॉललाही लागू होतात: श्रोता प्रॉक्सी पोहोचू शकेल आणि दुसरे काहीही पोहोचू शकणार नाही अशा इंटरफेसला बद्ध असेल तेव्हाच तो विश्वासार्ह असतो। अनुपस्थित पत्ता संदर्भाने संरक्षित तपासणी अयशस्वी केली पाहिजे, डीफॉल्ट परवानगीत पडू नये। अनुपस्थित हेडर विश्वासार्ह मार्गाचा पुरावा नाही।

अट प्रत्येक संरक्षित ऑपरेशनला जोडा

तपासणी मेनू रेंडर करणाऱ्या पानात नाही, तर प्रत्येक संरक्षित ऑपरेशन ज्या अधिकृतता सीमेतून जाते तिथे ठेवा। राउट गट, मिडलवेअर किंवा धोरण स्तर सर्व काम करतात; प्रत्येक हँडलरसाठी प्रत काम करत नाही, कारण पुढील तिमाहीत कोणी जोडलेल्या हँडलरकडे ती नसेल।

user = requireAuthenticatedSession()
requirePermission(user, "admin")
requireVpnEgress(verifiedClientAddress(request))
performProtectedOperation(user, request)

त्याच सीमेने JSON API, निर्यात, स्वाक्षरी केलेल्या डाउनलोड URL आणि WebSocket हस्तांदोलनही व्यापले पाहिजे, कारण यापैकी कोणालाही आधी HTML पानाची विनंती करण्याची गरज नाही। VPN सुरू असताना तयार केलेली डाउनलोड लिंक, डाउनलोड एंडपॉइंट पुन्हा तपासत नसेल तर नंतरही वैध राहते। दीर्घकालीन सत्रांनाही पुनर्मूल्यांकन नियम हवा, अन्यथा एक प्रमाणित विनंती कायमची सूट बनते। डीफॉल्ट नकार हाच कर्मचारी बदलात टिकणारा एकमेव सेटिंग आहे।

सामायिक कॅशे तपासणीभोवतीचा दुसरा मार्ग आहेत। ज्यात आधीच संरक्षित प्रतिसाद आहे असा कॅशे उगमाशी संपर्क न करता तो देऊ शकतो, म्हणून प्रशासन प्रतिसाद खाजगी म्हणून चिन्हांकित करा आणि सामायिक साठ्याबाहेर ठेवा। कॅशेने ते देणे आवश्यक असल्यास, प्रवेश तपासणी देण्यापूर्वी चालली पाहिजे, याचा अर्थ सामान्यतः तो सामायिक कॅशे असूच शकत नाही।

तुम्ही नुकतेच बंद केलेले बायपास तपासा

आनंदी मार्ग नाही, मॅट्रिक्सचा सराव करा: VPN मधून प्रशासक, त्याशिवाय तोच प्रशासक, त्यातून प्रशासक नसलेला, आणि बनावट पत्ता हेडर। उगमाकडे थेट विनंती आणि कॅशे केलेल्या प्रतिसादाची विनंती जोडा, कारण ती दोनच फ्रंटएंड पूर्णपणे वगळतात।

curl -sI https://admin.example.com/export.csv
curl -s -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin
curl -s https://admin.example.com/api/me -o /dev/null -w '%{http_code}\n'

प्रत्येक विनंतीने धोरणाने वचन दिलेली स्थिती परत करावी, आणि लॉगने कोणता पत्ता पुरावा वापरला हे नोंदवावे। IPv6 वेगळे व्यापा, कारण दुहेरी स्टॅकच्या उगमाला तुम्ही तपासलेल्यापेक्षा वेगळे स्रोत कुटुंब दिसू शकते। सामान्य ग्राहक ऑपरेशन्स VPN बाहेर चालू ठेवा, अन्यथा ग्राहकाने पहिल्यांदा तक्रार केल्यावर बदल मागे घेतला जाईल। प्रत्येक ओळीचा अपेक्षित निकाल चालवण्यापूर्वी लिहा, जेणेकरून आश्चर्यकारक उत्तीर्णता दिसेल।

एग्रेस पत्ता अनुमत नेटवर्क मार्ग सिद्ध करतो, व्यक्ती नाही आणि व्यवस्थापित उपकरण नाही। तो प्रमाणीकरण आणि परवानगीच्या शेजारी एक अट म्हणून ठेवा, आणि संपूर्ण उत्पादन VPN-फक्त सेवा न करता प्रशासन क्षेत्र अरुंद राहते। ते विभाजन हेच डिझाइन आहे, त्याची मर्यादा नाही।