URL waħda għall-uffiċċju u l-VPN? Għaliex il-mit tal-lista permessa jfalli

Qabbad it-tunnel, iftaħ l-istess bookmark, u s-sit fil-lista permessa jwieġeb eżatt kif kien jagħmel mill-uffiċċju. Din hija l-assunzjoni li fuqha jistrieħu bilkwiet ħafna mill-pjanijiet tal-aċċess mill-bogħod, u tinżamm biss sakemm tliet affarijiet separati jibqgħu veri fl-istess ħin. Xejn minnhom mhu karatteristika tal-klijent VPN, u ebda rekord DNS ma jista’ jipprovdi wieħed minnhom. Meta l-bookmark ifalli d-dar, il-browser jagħtik żball ġeneriku wieħed, kemm jekk il-kawża hija rotta neqsin, indirizz tal-ħruġ mhux approvat jew proxy li biddel is-sors li jirrapporta. Li tittratta dawn it-tlieta bħala problema waħda hija t-triq li biha tiswija żgħira tal-politika ssir ġimgħa ta’ tkabbir tal-listi permessi.

Id-disinn li jiflaħ kuntatt ma’ netwerk tal-uffiċċju reali huwa idjaq mill-assunzjoni: tabella tad-deċiżjoni espliċita b’tliet ringieli, punt wieħed ta’ infurzar li ma jistax jiġi evitat, u test ta’ ċaħda li jipprova xi ħaġa. It-tiżmim tal-assunzjoni jiġi l-ewwel, għax kollox warajha jiddependi milli wieħed ikun jaf liema saff qed jirrappreżenta ħażin is-sors.

Il-mit: li tqabbad mhuwiex li tittrija

Jiġi stabbilit tunnel, u l-klijent jinstalla rotot għal ċertu sett ta’ prefissi. Dan huwa kollu li jagħmel li tqabbad. Jekk talba HTTPS mhux relatata tgħaddix mit-tunnel, u minn liema indirizz pubbliku tidher li ġejja meta tasal, dawn huma deċiżjonijiet li jittieħdu aktar tard minn komponenti oħra: it-tabella tar-rotot tagħżel it-triq, u l-ħruġ jagħżel is-sors.

Għalhekk l-uffiċċju u l-mejda tal-kċina jiddiverġu bl-istess laptop, l-istess profil tal-browser u l-istess bookmark. Fl-uffiċċju t-talba toħroġ minn indirizz pubbliku miżmum li l-operatur tas-sit qabel miegħu. Minħabba tunnel sħiħ tista’ toħroġ mill-ħruġ tal-VPN, li huwa indirizz differenti u, sakemm xi ħadd iżidu, mhux approvat. Minħabba tunnel maqsum jista’ ma jidħol qatt fit-tunnel. Tnejn biss minn dawk it-tliet triqat qatt kienu parti mill-ftehim mas-sid tas-sit, u t-tielet waħda mhix difett li għandu jitbajja’ b’ringiela allow oħra.

Tliet stati tat-talba, żewġ ħruġ approvati

Ikteb il-matriċi qabel ma tmiss firewall, għax it-tabella hija d-disinn u r-regola hija biss implimentazzjoni waħda tiegħu. L-indirizzi hawn taħt huma firxiet ta’ dokumentazzjoni; ibdilhom bil-valuri miżmuma tiegħek u żommhom fejn is-sid tas-sit jista’ jivverifikahom.

Ir-ringiela tan-nofs hija fejn il-biċċa l-kbira ta’ dawn il-pjanijiet tinkiser. Jagħmel differenza l-indirizz li jara l-apparat tal-infurzar, mhux l-indirizz privat li l-laptop iżomm ġewwa t-tunnel u mhux l-indirizz LAN tiegħu. Valur bħal 10.8.0.6 ma jfisser xejn għal sit pubbliku, u lanqas 192.168.1.44. L-indirizz tat-tunnel huwa dettall tal-indirizzar tat-tunnel, mhux kredenzjali li s-sit jista’ jivverifika.

Jekk il-VPN tiegħek ma jistax jipprovdi ħruġ stabbli u dokumentat, il-matriċi m’għandhiex ringiela tan-nofs valida u ebda ammont ta’ listi permessi ma se joħloq waħda. L-għażliet onesti f’dak il-punt huma sit privat li jintlaħaq permezz ta’ rotot privati espliċiti, jew gateway tal-aċċess konxju tal-identità quddiem l-applikazzjoni. It-tnejn għandhom kuntratt differenti minn lista permessa pubblika, u t-tnejn huma eħfef biex jiġu spjegati lil verifikatur minn lista li kibret sakemm bdiet taħdem b’kumbinazzjoni.

Aqra s-sors fejn tittieħed id-deċiżjoni

Qiegħed ir-restrizzjoni fuq l-apparat li jtemm it-talba, u kkonferma li ebda triq alternattiva tal-oriġini ma tevita. Il-modulu tal-aċċess ta’ Nginx jivvaluta d-direttivi allow u deny fl-ordni, l-ewwel qbil jirbaħ, u r-regoli li jintirtu minn blokk li jdawwarhom għadhom japplikaw ġewwa location. allow dejqa ħdejn allow wiesgħa fl-istess post normalment tfisser li dik wiesgħa tiddeċiedi. Aqra l-konfigurazzjoni effettiva kollha għal dak location qabel ma teditja anke ringiela waħda minnha.

server {
    listen 443 ssl;
    server_name intranet.example.com;

    set_real_ip_from 10.20.0.10;
    real_ip_header X-Forwarded-For;
    real_ip_recursive on;

    location /app/ {
        allow 203.0.113.24;    # office public exit
        allow 198.51.100.77;   # approved VPN egress
        deny  all;
        proxy_pass http://app_backend;
    }
}

Wara bilanċjatur tat-tagħbija jew proxy invers, dik ir-regola tara l-proxy sakemm ma tgħidlux mod ieħor. Erġa’ stabbilixxi l-indirizz tas-sejjieħ biss permezz tal-mekkaniżmu tal-proxy fiduċjarju appoġġjat, b’lista espliċita ta’ indirizzi tal-proxy. Intestatura tat-talba li tiddikjara indirizz approvat mhix prova li s-sejjieħ jippossjediha, u fuq semmiegħ pubbliku intestatura mibgħuta mingħajr validazzjoni tagħmel il-lista permessa ornament.

Imbagħad iċċekkja l-familja tal-indirizzi l-oħra. Sett ta’ regoli li jkopri biss IPv4 huwa deċiżjoni mhux kompleta għal isem tal-host li jwieġeb ukoll fuq AAAA, u klijent b’IPv6 li jaħdem se jasal għall-istess applikazzjoni permezz ta’ triq li qatt ma rrevedejt.

Tunnel maqsum: it-talba li qatt ma tidħol

Tunnel maqsum iġorr biss il-prefissi fil-lista tiegħu. Is-subnets interni tal-uffiċċju normalment jidħlu f’dik il-lista; sit web pubbliku ma jidħolx. Il-browser isolvi l-isem, iqabbel l-indirizz magħżul mat-tabella tar-rotot, u xorta jsib il-gateway lokali awtomatiku quddiemu.

Hekk it-talba tasal mill-konnessjoni tad-dar tal-utent, tiġi rifjutata, u r-rapport jgħid li l-VPN huwa mħassar waqt li t-tunnel qed jagħmel eżatt dak li kien ikkonfigurat għalih. Żewġ tiswijiet huma leġittimi: idderieġi dik id-destinazzjoni mit-tunnel u ħalli l-ħruġ approvat iġorrha, jew aċċetta li s-sit jintlaħaq direttament u agħti lill-utenti mill-bogħod triq approvata oħra bħall-gateway tal-aċċess. It-tkabbir tal-lista permessa pubblika tas-sit sakemm indirizz tad-dar b’kumbinazzjoni jiġi inkluż mhu la waħda u lanqas l-oħra, u jneħħi l-limitu li d-disinn kellu jinfurza. L-ewwel tnejn iżommu l-matriċi onesta; it-tielet waħda tħassar bilkwiet ringiela minnha.

Ipprova ċ-ċaħda, imbagħad l-irkupru

Ittestja b’talba li teżerċita d-deċiżjoni reali, minn klijent li jinsab fuq kull ringiela tat-tabella. Kontroll tal-aċċessibbiltà lejn xi paġna mhux relatata li turi l-indirizz ma jipprova xejn, għax dik id-destinazzjoni tista’ ssegwi triq differenti mill-applikazzjoni.

curl -sS -o /dev/null -w 'status=%{http_code}
' https://intranet.example.com/app/login
# repeat with the tunnel up, then with it down
tail -f /var/log/nginx/access.log | grep ' /app/'

Qabbel ir-rekord tal-aċċess fil-limitu ma’ dak li bassret it-tabella. Imbagħad niżżel it-tunnel u għamel talba ġdida li għandha tiġi rifjutata; paġna diġà mgħobbija, jew konnessjoni diġà miftuħa, ma tittestja xejn. Jekk ma tidhirx ċaħda, il-punt tal-infurzar mhuwiex fejn taħseb.

Żomm l-awtentikazzjoni tal-applikazzjoni wara l-ammissjoni fin-netwerk, għax ħruġ tal-uffiċċju u ħruġ tal-VPN kull wieħed jirrappreżenta ħafna nies u ebda wieħed ma jidentifika individwu. L-istruzzjoni għall-utenti tibqa’ qasira: erfa’ t-tunnel approvat, imbagħad erġa’ pprova. Dan huwa dak li jżomm URL waħda konvenjenti waqt li r-regola tas-sors tibqa’ deċiżjoni u mhux ilqugħa.