د VPN شاته د SaaS مدیریتي ساحه: کوم آدرس ته باور وکړو؟

عامه SaaS پاڼې کولای شي د هر چا لپاره پرانیستې پاتې شي، پداسې حال کې چې د هغوی شاته مدیریتي عملیات له VPN بهر هر څوک ردوي۔ هغه میکانیزم چې دا ممکنوي نه پټ مینو دی او نه جلا ننوتلو پاڼه؛ دا د هغې شبکې لارې څېړنه ده چې غوښتنه یې رسولې ده۔ که د آدرس شواهد غلط وي، څېړنه یا ریښتیني مدیران بندوي یا هر هغه څوک مني چې سرسرلیک ولیکلی شي۔ له هغه څه پیل وکړئ چې اصلي سرچینه واقعاً ترلاسه کوي۔

اصلي سرچینه له ټنل وروسته واقعاً څه ترلاسه کوي

کله چې براوزر د انټرنېټ ترافیک هم وړونکي VPN له لارې عامه سایټ ته ورسیږي، دروازه اړیکه د وتلو دمخه ژباړي۔ SaaS د دروازې عامه وتلو آدرس ویني، معمولاً یو آدرس یا کوچنی حد، او هیڅکله د لپ ټاپ ټنل آدرس نه ویني۔ ځکه 10.90.0.42 د اجازه شوو لیست ته ورزیاتول ناکام کیږي، او ځکه ټول RFC 1918 ورزیاتول لا په لوړ غږ ناکام کیږي: دوهم هر هغه خصوصي شبکه مني چې تاسو ته رسیدلی شي۔ یوازینی آدرس چې د شرط ارزښت لري هغه دی چې ستاسو سازمان په وتلو کې واقعاً یې مالک دی۔

curl -s https://ifconfig.me
dig +short admin.example.com

وویشل شوی ټنل دا انګېرنه په چوپتیا ماتوي۔ که VPN یوازې خصوصي دفترونو لارې وړي، عامه مدیریتي کوربه نوم ته غوښتنه د ځایي ISP له لارې وځي او اصلي سرچینه استوګنځایي آدرس ویني۔ نښلول شوی VPN آیکون دې ځانګړي منزل په اړه هېڅ نه ثابتوي، نو ټنل نه، منزل وآزمویئ۔

که وتلو آدرس د هر کارونکي لپاره توپیر ولري، مخکې له دې چې کومه پالیسي ولیکئ ودروئ او لارښونه سمه کړئ۔ هغه شرط چې یوازې ځینې مدیرانو سره سمون خوري له هېڅ شرط څخه بدتر دی، ځکه چې تر پیښې پورې ستونزه پټوي۔

یوازې هغه پراکسي ته باور وکړئ چې آدرس بیا لیکي

ډیری عامه سایټونه د CDN یا معکوس پراکسي شاته دي، نو د اصلي سرچینې سوکیټ آدرس دې مخکیني پورې اړه لري نه لیدونکي ته۔ مخکینی معمولاً اصلي آدرس په سرسرلیک کې لیږدوي، او هغه سرسرلیک د بریدګر تر کنټرول لاندې دی پرته لدې چې اصلي سرچینه یې یوازې پیژندل شوو پراکسي څخه ومني۔ د باوري سرچینو لیست په څرګنده تنظیم کړئ او اصلي سرچینه له هر بل ځای څخه نارسیدونکې کړئ۔ پرته لدې دوهمه نیمه، بریدګر پراکسي پریږدي او سرسرلیک مستقیم لیږي۔

set_real_ip_from 192.0.2.0/24;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
curl -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin

همدا استدلال د PROXY پروتوکول لپاره هم صدق کوي: دا یوازې هغه وخت باوري دی چې اورېدونکی دې هغه انټرفیس سره وتړل شي چې پراکسي ورته رسیږي او بل هېڅوک نه رسیږي۔ نیمګړی د آدرس زمینه باید محافظت شوې څېړنه ناکامه کړي، نه دا چې تیریدل د ډیفالټ اجازې ته کوي۔ نیمګړی سرسرلیک د باوري لارې شواهد نه دي۔

شرط له هر محافظت شوي عملیات سره ونښلوئ

څېړنه په هغه اجازه ورکولو پوله کې کیږدئ چې له هغې هر محافظت شوی عملیات تیریږي، نه په هغه پاڼه کې چې مینو رنډر کوي۔ د لارو ګروپونه، مینځپانګه یا د پالیسۍ پوړ ټول کار کوي؛ د هر هینډلر لپاره کاپي نه، ځکه هغه هینډلر چې بل ربع کې څوک ورزیاتوي به یې نه لري۔

user = requireAuthenticatedSession()
requirePermission(user, "admin")
requireVpnEgress(verifiedClientAddress(request))
performProtectedOperation(user, request)

همدا پوله باید JSON API، صادرات، لاسلیک شوي ډاونلوډ URLونه او د WebSocket لاس نیول هم پوښي، ځکه د هغوی له هیچا څخه دمخه د HTML پاڼې غوښتنه نه کیږي۔ هغه ډاونلوډ لینک چې د VPN د فعالیدو پر مهال جوړ شو، وروسته هم معتبر پاتې کیږي پرته لدې چې د ډاونلوډ پای ټکی بیا وګوري۔ اوږد مهاله غونډو ته هم بیا ارزونې قاعده ورته ده، که نه یوه تصدیق شوې غوښتنه تلپاتې استثنا کیږي۔ ډیفالټ انکار یوازینی ترتیبات دي چې د کارکوونکو بدلون ته دوام ورکوي۔

شریک شوي کیشونه د څېړنې شاوخوا بله لار ده۔ هغه کیش چې له مخکې محافظت شوی ځواب لري کولای شي دا پرته لدې چې اصلي سرچینې ته اړیکه ونیسي وړاندې کړي، نو مدیریتي ځوابونه د خصوصي په توګه ونښلوئ او د شریک شوي ذخیرې څخه بهر یې وساتئ۔ که کیش باید دا وړاندې کړي، د لاسرسي څېړنه باید له وړاندې کولو مخکې وګرځي، چې معمولاً دا معنی لري چې دا هېڅکله شریک شوی کیش نه شي کېدلی۔

هغه تېرې لارې وآزمویئ چې همدا اوس وتړلې

میټریکس تمرین کړئ نه خوښه لار: مدیر د VPN له لارې، همدا مدیر پرته له دې، غیر مدیر د هغې له لارې، او جعلي آدرس سرسرلیک۔ مستقیم اصلي سرچینې ته غوښتنه او د کیش شوي ځواب غوښتنه ورزیاته کړئ، ځکه همدا دوه دي چې مخکینی په بشپړه توګه پریږدي۔

curl -sI https://admin.example.com/export.csv
curl -s -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin
curl -s https://admin.example.com/api/me -o /dev/null -w '%{http_code}\n'

هره غوښتنه باید هغه حالت بیرته راولي چې پالیسي یې ژمنه کوي، او لاګ باید ولیکي چې د آدرس کوم شواهد کارول شوي۔ IPv6 جلا پوښئ، ځکه دوه سټیکه اصلي سرچینه ممکن له هغې چې تاسو آزمویلې بېله سرچینې کورنۍ وویني۔ عادي پیریدونکي عملیات د VPN څخه بهر روان وساتئ، که نه د پیریدونکي لومړنۍ شکایت سره بدلون بیرته اخیستل کیږي۔ د هرې کرښې متوقع نتیجه له چلولو دمخه ولیکئ، ترڅو حیرانونکې بریالیتوب ښکاره شي۔

وتلو آدرس د اجازه شوې شبکې لار ثابتوي، نه یو شخص او نه یو مدیریت شوی وسیله۔ دا د تصدیق او اجازې ترڅنګ د یو شرط په توګه وساتئ، او مدیریتي ساحه پراخه نه کیږي پرته لدې چې ټول محصول یوازې VPN خدمت شي۔ هغه جلا کول ډیزاین دی، نه د هغې محدودیت۔