Закройте временный предпросмотр, пока он не стал постоянным

Проверяющему, который не может подключиться к VPN, нужна ссылка на один день, а к вечеру у продуктивного сервиса появляется публичное имя хоста, которое, как никому не помнится, никто не одобрял. Запрос был маленьким; изменение — нет. Временный предпросмотр — это новый путь доступа с аудиторией, охватом данных и временем окончания. Относитесь к нему как к любому другому входу, потому что слово временный ничего не закрывает.

Временный — это срок, а не контроль

Слово временный описывает, как долго что-то должно существовать, а не то, что ограничивает его, пока оно существует. Публичное имя хоста без срока действия становится постоянным в тот момент, когда создавший его человек меняет команду.

Прежде чем что-либо будет раскрыто, владелец сервиса и владелец безопасности должны одобрить три вещи: аудиторию, данные и срок.

Существующая среда гостевого VPN или проверки часто проще, чем публикация продуктивного сервиса. У неё уже есть владелец, путь согласования и процесс удаления. Построение нового исключения на один день — это путь, которым маленький запрос превращается в постоянный актив. Начните с вопроса, может ли проверка пройти внутри чего-то, что уже существует.

Публикуйте одну операцию, а не подсеть

Выберите наименьший вход, который ещё поддерживает проверку. Предпочитайте тестовую копию с подходящими данными вместо продуктивной среды и аутентифицированный фронтенд, доходящий до одного частного источника, вместо любого маршрута подсети.

Ретранслятору с доступностью VPN не нужно публиковать целую частную подсеть и тем более не следует публиковать административный интерфейс шлюза.

Назовите учётные записи, которым разрешён проход, и действия, которые они могут выполнять. Ограничение по исходному IP действительно сужает круг тех, кто может подключиться. Но оно не идентифицирует человека, поскольку публичные адреса разделяются и меняются.

Сохраняйте собственную авторизацию приложения или явно доверенный вход, учитывающий идентичность. Защищайте загрузки, API и административные пути, а не только страницу входа. Фронтенд, завершающий TLS, становится доверенной конечной точкой, а частный маршрут за ним не превращает публичного посетителя в участника VPN. Проверяйте исключённые пути так же тщательно, как страницу входа.

Идентичность на фронтенде, а не в адресе источника

Правила по исходному IP полезны для сужения экспозиции и бесполезны для доказательства того, кто такой проверяющий. Домашние соединения меняются, мобильные сети делят адреса, а коллега может находиться за тем же NAT.

Прокси, знающий идентичность, или собственный вход приложения даёт решение по каждому человеку. Именно это делает возможным отзыв позже, потому что можно удалить одну идентичность, не меняя сеть.

Оставляйте проверку сертификатов включённой и блокируйте прямой доступ к источнику. Если источник по-прежнему доступен из интернета, фронтенд — лишь украшение.

Отзовите право и маршрут

Запишите владельца и точный срок в операционной системе, которая уже отслеживает доступ. Используйте доступ с ограничением по времени или запланированное удаление там, где платформа это поддерживает, и добавьте проверку на случай отказа автоматизации.

В согласованный момент выведите из эксплуатации временный фронтенд, разрешение маршрута и право проверяющего через их владельцев. Существующие сеансы и долгоживущие соединения требуют отдельной обработки, поскольку удалённый маршрут их не завершает.

Короткий DNS TTL — это не истечение доступа. Он меняет то, как долго резолвер хранит ответ. Он не отключает учётную запись, не обрывает активный сеанс и не закрывает порт, который всё ещё слушает.

Кэшированные копии — часть той же проблемы. Отключение пути к источнику не возвращает файл, который кто-то уже сохранил, а общий кэш может отдавать копии после исчезновения ретранслятора. Выберите политику ответов и хранения до начала проверки.

Убедитесь, что старый путь действительно исчез

Приёмка — это новый запрос, который завершается ошибкой, плюс обычный рабочий процесс VPN, который всё ещё работает. Проверяйте оба, потому что удаление, ломающее обычный путь, не является чистым удалением.

Снаружи сети подтвердите, что и имя, и источник закрыты:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Ведите узкую запись аудита о том, что было одобрено, кто мог до этого добраться и когда это было удалено. Эта запись и есть разница между контролируемым исключением и необъяснимым именем хоста. Временный предпросмотр успешен, когда он предоставляет запрошенную проверку, а затем перестаёт её предоставлять. Исчезновение URL из сообщения в чате — это не та проверка.