Lukk den midlertidige forhåndsvisningen før den blir permanent

En gjennomgåer som ikke får tilgang til VPN trenger en lenke for en ettermiddag, og innen kvelden har produksjonstjenesten et offentlig vertsnavn som ingen husker at de godkjente. Forespørselen var liten; endringen var det ikke. En midlertidig forhåndsvisning er en ny tilgangsvei med et publikum, et dataomfang og et sluttidspunkt. Behandle den som enhver annen inngang, for ordet midlertidig lukker ingenting.

Midlertidig er en varighet, ikke en kontroll

Ordet midlertidig beskriver hvor lenge noe skal finnes, ikke hva som begrenser det mens det finnes. Et offentlig vertsnavn uten utløp er permanent i det øyeblikket personen som opprettet det bytter team.

Før noe eksponeres, bør tjenesteeieren og sikkerhetseieren godkjenne tre ting: publikummet, dataene og varigheten.

Et eksisterende gjeste-VPN- eller gjennomgangsmiljø er ofte enklere enn å publisere produksjonstjenesten. Det har allerede en eier, en godkjenningsvei og en fjerningsprosess. Å bygge et nytt unntak for en ettermiddag er måten en liten forespørsel blir en permanent eiendel på. Begynn med å spørre om gjennomgangen kan skje inne i noe som allerede finnes.

Publiser én operasjon, aldri et subnett

Velg den minste inngangen som fortsatt støtter gjennomgangen. Foretrekk en kopi i testmiljø med passende data fremfor produksjon, og en autentisert frontend som når én privat opprinnelse fremfor en hvilken som helst subnett-rute.

En relay med VPN-tilgjengelighet trenger ikke publisere et helt privat subnett, og bør absolutt ikke publisere administrasjonsgrensesnittet til gatewayen.

Navngi kontoene som får slippe gjennom, og handlingene de kan utføre. Begrensning etter kilde-IP innsnevrer riktignok hvem som kan koble til. Den identifiserer ikke en person, for offentlige adresser deles og de endres.

Behold applikasjonens egen autorisasjon eller en uttrykkelig betrodd identitetsbevisst inngang. Beskytt nedlastinger, API-er og administrative stier, ikke bare landingssiden. En frontend som terminerer TLS blir et betrodd endepunkt, og en privat rute bak den gjør ikke en offentlig besøkende til VPN-medlem. Test de utelukkede stiene like nøye som landingssiden.

Identitet i frontend, ikke i kildeadressen

Regler for kilde-IP er nyttige for å snevre inn eksponering og ubrukelige for å bevise hvem en gjennomgåer er. Hjemmeforbindelser endres, mobilnett deler adresser, og en kollega kan sitte bak samme NAT.

En identitetsbevisst proxy eller applikasjonens egen innlogging gir deg en beslutning per person. Det er dette som gjør tilbakekalling mulig senere, fordi du kan fjerne én identitet uten å endre nettverket.

Hold sertifikatvalidering på og blokker direkte tilgang til opprinnelsen. Hvis opprinnelsen fortsatt er nåbar fra internett, er frontend bare dekorasjon.

Tilbakekall rettigheten og ruten

Registrer en eier og en nøyaktig utløpsdato i driftssystemet som allerede sporer tilgang. Bruk tidsbegrenset tilgang eller planlagt fjerning der plattformen støtter det, og legg til en sjekk i tilfelle automatiseringen feiler.

Ved den avtalte slutten avvikles den midlertidige frontend, ruttetillatelsen og gjennomgåerens rettighet via deres eiere. Eksisterende økter og langvarige forbindelser trenger egen behandling, for en fjernet rute avslutter dem ikke.

En kort DNS TTL er ikke tilgangsutløp. Den endrer hvor lenge en resolver beholder svaret. Den deaktiverer ikke en konto, kutter ikke en levende økt og lukker ikke en port som fortsatt lytter.

Mellomlagrede kopier er en del av samme problem. Å ta ned opprinnelsesstien henter ikke tilbake en fil noen allerede har lagret, og en delt cache kan servere kopier etter at relayen er borte. Velg svar- og lagringspolicy før gjennomgangen begynner.

Kontroller at den gamle veien virkelig er borte

Aksept er en ny forespørsel som feiler, pluss den vanlige VPN-arbeidsflyten fortsatt fungerer. Test begge, for en fjerning som bryter den vanlige veien er ikke en ren fjerning.

Bekreft utenfra nettverket at både navnet og opprinnelsen er lukket:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Hold en smal revisjonslogg over hva som ble godkjent, hvem som kunne nå det, og når det ble fjernet. Den loggen er forskjellen mellom et kontrollert unntak og et uforklart vertsnavn. En midlertidig forhåndsvisning lykkes når den leverer gjennomgangen som ble bedt om og deretter slutter å levere den. At URL-en forsvinner fra en chatmelding er ikke den testen.