Agħlaq il-ħarsa temporanja qabel ma ssir permanenti

Reviżur li ma jistax jingħaqad mal-VPN jeħtieġ rabta għal wara nofsinhar wieħed, u sa filgħaxija s-servizz tal-produzzjoni jkollu isem ta' host pubbliku li ħadd ma jiftakar li approva. It-talba kienet żgħira; il-bidla ma kinitx. Ħarsa temporanja hija triq ġdida ta' aċċess b'udjenza, ambitu ta' data u ħin ta' tmiem. Ittrattaha bħal kull daħla oħra, għax il-kelma temporanju ma tagħlaq xejn.

Temporanju huwa tul, mhux kontroll

Il-kelma temporanju tiddeskrivi kemm għandu jibqa' jeżisti xi ħaġa, mhux x'jillimita lilha waqt li teżisti. Isem ta' host pubbliku mingħajr skadenza jsir permanenti fil-mument li l-persuna li ħolqtu tbiddel it-tim.

Qabel ma jiġi espost xi ħaġa, is-sid tas-servizz u s-sid tas-sigurtà għandhom japprovaw tliet affarijiet: l-udjenza, id-data u t-tul.

Ambjent tal-mistieden jew tar-reviżjoni li diġà jeżisti spiss huwa aktar sempliċi milli tiġi ppubblikata s-servizz tal-produzzjoni. Diġà għandu sid, triq ta' approvazzjoni u proċess ta' tneħħija. Il-bini ta' eċċezzjoni ġdida għal wara nofsinhar wieħed huwa l-mod kif talba żgħira ssir assi permanenti. Ibda billi tistaqsi jekk ir-reviżjoni tistax issir ġewwa xi ħaġa li diġà teżisti.

Ippubblika operazzjoni waħda, qatt subnetwork

Agħżel l-iżgħar daħla li għadha tappoġġja r-reviżjoni. Ippreferi kopja tat-test b'data adatta minflok il-produzzjoni, u interface awtentikata li tilħaq oriġini privata waħda minflok kwalunkwe triq tas-subnetwork.

Relay b'aċċess għall-VPN m'għandux għalfejn jippubblika subnetwork privat sħiħ, u żgur m'għandux jippubblika l-interface amministrattiva tal-gateway.

Semmi l-kontijiet li jistgħu jgħaddu u l-azzjonijiet li jistgħu jagħmlu. Ir-restrizzjoni bl-IP tas-sors tnaqqas min jista' jingħaqad. Iżda ma tidentifikax persuna, għax l-indirizzi pubbliċi huma maqsuma u jinbidlu.

Żomm l-awtorizzazzjoni tal-applikazzjoni stess jew daħla espliċitament fdati li taf l-identità. Ipproteġi t-tniżżil, l-API u t-toroq amministrattivi, mhux biss il-paġna tal-inżul. Interface li ttemm TLS issir punt aħħari fdat, u triq privata warajha ma tagħmilx viżitatur pubbliku membru tal-VPN. Ittestja t-toroq esklużi bl-istess attenzjoni bħall-paġna tal-inżul.

Identità fl-interface, mhux fl-indirizz tas-sors

Ir-regoli tal-IP tas-sors huma utli biex jidjieq l-espożizzjoni u inutli biex jiġi ppruvat min hu reviżur. Il-konnessjonijiet tad-dar jinbidlu, in-netwerks mobbli jaqsmu l-indirizzi, u kollega jista' jkun wara l-istess NAT.

Proxy li jaf l-identità jew id-dħul tal-applikazzjoni stess jagħtik deċiżjoni għal kull persuna. Dan huwa li jagħmel ir-revoka possibbli aktar tard, għax tista' tneħħi identità waħda mingħajr ma tbiddel in-netwerk.

Żomm il-validazzjoni taċ-ċertifikat mixgħula u ibblokka l-aċċess dirett għall-oriġini. Jekk l-oriġini għadha tinġibed mill-internet, l-interface hija biss dekorazzjoni.

Irrevoka d-dritt u t-triq

Irreġistra sid u skadenza eżatta fis-sistema operattiva li diġà ssegwi l-aċċess. Uża aċċess limitat fiż-żmien jew tneħħija skedata fejn il-pjattaforma tappoġġja dan, u żid verifika f'każ li l-awtomazzjoni tfalli.

Fl-aħħar miftiehem, waqqaf l-interface temporanja, il-permess tat-triq u d-dritt tar-reviżur permezz tas-sidien tagħhom. Is-sessjonijiet eżistenti u l-konnessjonijiet fit-tul jeħtieġu trattament tagħhom, għax triq imneħħija ma ttemmhomx.

TTL tad-DNS qasir mhuwiex skadenza tal-aċċess. Huwa jbiddel kemm iżżomm is-soluzzjoni t-tweġiba. Ma jiddiżattivax kont, ma jaqtax sessjoni ħajja u ma jagħlaqx port li għadu jisma'.

Kopji fil-cache huma parti mill-istess problema. It-tniżżil tat-triq tal-oriġini ma jiġbidx lura fajl li xi ħadd diġà salva, u cache maqsum jista' jservi kopji wara li r-relay jisparixxi. Agħżel il-politika tat-tweġiba u tal-ħażna qabel ma tibda r-reviżjoni.

Ivverifika li t-triq antika tassew sparixxiet

L-aċċettazzjoni hija talba ġdida li tfalli, flimkien ma' il-fluss tax-xogħol normali tal-VPN li għadu jaħdem. Ittestja t-tnejn, għax tneħħija li tkisser it-triq ordinarja mhijiex tneħħija nadifa.

Minn barra n-netwerk, ikkonferma li l-isem u l-oriġini t-tnejn huma magħluqa:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Żomm rekord tal-verifika dejjaq ta' x'ġie approvat, min seta' jasal għalih u meta tneħa. Dak ir-rekord huwa d-differenza bejn eċċezzjoni kkontrollata u isem ta' host mhux spjegat. Ħarsa temporanja tirnexxi meta tipprovdi r-reviżjoni mitluba u mbagħad tieqaf tipprovdiha. Li l-URL jisparixxi minn messaġġ ta' chat mhuwiex dak it-test.