Kif prokura pubblika tilħaq oriġini privata permezz ta’ VPN

Il-pubblikazzjoni ta’ sit web permezz ta’ tunnel u l-għoti ta’ aċċess VPN lill-utenti huma żewġ arranġamenti differenti li jaqsmu kejbil wieħed. Fl-ewwel, prokura inversa pubblika taċċetta t-talba tal-viżitatur u tgħaddiha permezz tat-tunnel lejn oriġini li ħadd ma jista’ jasal għaliha direttament. Fit-tieni, l-utent irid jingħaqad mal-VPN qabel ma l-applikazzjoni tkun aċċessibbli xejn. It-taħlit taż-żewġ deskrizzjonijiet huwa kif backend privat jispiċċa espost pubblikament.

Żewġ mudelli li jidhru l-istess fuq dijagramma

Iġbed il-vleġeġ qabel ma tagħżel xejn. Mudell ta’ pubblikazzjoni pubblika jmur mill-browser għall-prokura fuq HTTPS, imbagħad mill-prokura għall-oriġini permezz tat-tunnel, u l-oriġini qatt ma taċċetta konnessjoni mill-internet. Mudell biss VPN jmur mill-klijent għall-gateway, u l-applikazzjoni hija aċċessibbli biss minn ġewwa dak il-passaġġ. Il-laptop tal-utent joqgħod fuq l-istess netwerk bħall-applikazzjoni, u dan huwa l-iskop kollu ta’ dak il-mudell.

Il-mudelli jvarjaw f’min jawtentika u fejn. Fl-ewwel, il-prokura hija d-dħul pubbliku u tgħaddi kwalunkwe talba li tasal, inkluża waħda ostili, soġġetta għall-politika kkonfigurata fuqha. Fit-tieni, l-aċċessibbiltà nnifisha hija l-bieb, li hija ammissjoni goffa iżda vera.

Fejn jieqaf TLS, u x’jipprova tassew

TLS bejn il-browser u l-prokura jipproteġi dak il-qabża u jippermetti lill-browser jivverifika s-sit li kellu l-ħsieb iżur. Jekk il-prokura ttemm TLS, it-talba teżisti f’forma tinqara ġewwa dak il-proċess qabel ma tgħaddi. It-tieni sessjoni TLS lejn l-oriġini tista’ tipproteġi l-qabża li jmiss u tivverifika l-punt tat-tmiem tal-applikazzjoni separatament. L-ebda sessjoni ma tiddeċiedi liema bniedem jista’ juża l-applikazzjoni. Ċertifikat wildcard fuq il-prokura lanqas ma jinfirex għal dik it-tieni qabża.

Dan huwa l-parti li n-nies iqassru fil-kelma encrypted. Il-kunfidenzjalità, l-integrità u l-identità tas-server huma proprjetajiet tat-trasport; l-awtorizzazzjoni hija deċiżjoni tal-applikazzjoni. Indirizz privat wara tunnel ibiddel min jista’ jasal għas-socket, mhux min jista’ jidħol ladarba jasal.

Afda headers mibgħuta biss mill-prokura

L-applikazzjonijiet li jirreġistraw jew jawtorizzaw skont l-indirizz tal-klijent normalment jaqraw header li żżid il-prokura. Dak il-header huwa biss test, għalhekk kwalunkwe ħaġa li tista’ tasal direttament għall-oriġini tista’ tippretendi kwalunkwe indirizz li trid. Illimita l-oriġini biex biss l-indirizz tat-tunnel tal-prokura jkun jista’ jikkonnettja, u kkonfigura l-applikazzjoni biex taċċetta l-header biss minn dak l-indirizz.

curl -s -o /dev/null -w '%{http_code}
' -H 'X-Forwarded-For: 203.0.113.9' http://172.20.5.40/

Jekk dik it-talba tirnexxi minn host li mhuwiex il-prokura, l-oriġini tkun qed tafda header li messha tinjora. Sejjaħ il-listener qabel ma tmiss l-applikazzjoni. Ċaħda hija riżultat ħafna aħjar minn linja tal-log li ġġorr indirizz iffalsifikat.

Żomm l-oriġini aċċessibbli minn post wieħed biss

Orbot il-listener tal-oriġini mal-indirizz tat-tunnel jew dawwarh b’firewall lejn il-prokura, imbagħad ikkonferma x’qed jisma’ tassew. Servizz li jinbeda b’rabta wildcard jaċċetta konnessjonijiet fuq kull interface li għandu l-host, inkluża waħda li nsejt li hija routabbli. It-tabella tas-smigħ hija l-verità bażika, mhux il-fajl tal-konfigurazzjoni li kellek l-ħsieb tapplika. Jekk ir-rabta wildcard hija intenzjonata, il-firewall xorta trid tkun il-komponent li tnaqqasha.

ss -ltnp | grep -E ':(80|443)'

Agħmel l-istess reviżjoni għall-interfaces tal-ġestjoni, li huma l-espożizzjoni aċċidentali tas-soltu. Imbagħad ikteb iż-żewġ mudelli separatament: is-sit pubbliku permezz tal-prokura, u l-interface amministrattiva li hija aċċessibbli biss permezz tat-tunnel. Is-sentenza li s-server jinsab wara VPN ma tgħid xejn minn dan.