Feche a pré-visualização temporária antes que se torne permanente

Um revisor que não consegue entrar na VPN precisa de um link para uma tarde, e ao anoitecer o serviço de produção tem um nome de host público que ninguém se lembra de ter aprovado. O pedido era pequeno; a mudança não. Uma pré-visualização temporária é um novo caminho de acesso com um público, um âmbito de dados e uma hora de fim. Trate-a como qualquer outra entrada, porque a palavra temporário não fecha nada.

Temporário é uma duração, não um controlo

A palavra temporário descreve durante quanto tempo algo deve existir, não o que o limita enquanto existe. Um nome de host público sem expiração torna-se permanente no momento em que a pessoa que o criou muda de equipa.

Antes de algo ser exposto, o proprietário do serviço e o proprietário de segurança devem aprovar três coisas: o público, os dados e a duração.

Um ambiente de convidado ou de revisão existente é muitas vezes mais simples do que publicar o serviço de produção. Já tem um proprietário, um caminho de aprovação e um processo de remoção. Construir uma exceção nova para uma tarde é a forma como um pedido pequeno se torna um ativo permanente. Comece por perguntar se a revisão pode acontecer dentro de algo que já existe.

Publique uma operação, nunca uma sub-rede

Escolha a entrada mais pequena que ainda suporta a revisão. Prefira uma cópia de teste com dados adequados à produção, e uma interface autenticada que chega a uma origem privada em vez de qualquer rota de sub-rede.

Um relé com alcance de VPN não tem de publicar uma sub-rede privada inteira, e decerto não deve publicar a interface de administração da gateway.

Nomeie as contas autorizadas a passar e as ações que podem realizar. Restringir por IP de origem reduz de facto quem se pode ligar. Não identifica uma pessoa, porque os endereços públicos são partilhados e mudam.

Mantenha a autorização própria da aplicação ou uma entrada explicitamente fidedigna que reconheça a identidade. Proteja transferências, APIs e caminhos administrativos, não apenas a página de entrada. Uma interface que termina TLS torna-se um ponto final fidedigno, e uma rota privada por trás dela não transforma um visitante público em membro da VPN. Teste os caminhos excluídos com o mesmo cuidado que a página de entrada.

Identidade na interface, não no endereço de origem

As regras de IP de origem são úteis para reduzir a exposição e inúteis para provar quem é um revisor. As ligações domésticas mudam, as redes móveis partilham endereços e um colega pode estar atrás do mesmo NAT.

Um proxy que reconhece a identidade ou o início de sessão próprio da aplicação dá uma decisão por pessoa. É isso que torna a revogação possível mais tarde, porque pode remover uma identidade sem alterar a rede.

Mantenha a validação de certificados ativa e bloqueie o acesso direto à origem. Se a origem ainda for alcançável a partir da internet, a interface é apenas decoração.

Revoque o direito e a rota

Registe um proprietário e uma expiração exata no sistema operativo que já acompanha o acesso. Use acesso limitado no tempo ou remoção agendada onde a plataforma o permitir, e acrescente uma verificação caso a automatização falhe.

No fim acordado, retire a interface temporária, a permissão de rota e o direito do revisor através dos seus proprietários. As sessões existentes e as ligações de longa duração precisam de tratamento próprio, porque uma rota removida não as termina.

Um TTL de DNS curto não é a expiração do acesso. Altera durante quanto tempo um resolvedor guarda a resposta. Não desativa uma conta, não corta uma sessão viva nem fecha uma porta que ainda escuta.

As cópias em cache fazem parte do mesmo problema. Retirar o caminho da origem não recupera um ficheiro que alguém já guardou, e uma cache partilhada pode servir cópias depois de o relé desaparecer. Escolha a política de resposta e de armazenamento antes de a revisão começar.

Verifique se o caminho antigo desapareceu mesmo

A aceitação é um pedido novo que falha, mais o fluxo de trabalho normal da VPN continuar a funcionar. Teste os dois, porque uma remoção que quebra o caminho comum não é uma remoção limpa.

De fora da rede, confirme que o nome e a origem estão ambos fechados:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Mantenha um registo de auditoria estreito do que foi aprovado, quem podia chegar e quando foi removido. Esse registo é a diferença entre uma exceção controlada e um nome de host sem explicação. Uma pré-visualização temporária tem sucesso quando fornece a revisão pedida e depois deixa de a fornecer. O desaparecimento do URL de uma mensagem de chat não é esse teste.