VPN පිටුපස SaaS පරිපාලන ප්‍රදේශය: කුමන ලිපිනයක් විශ්වාස කළ යුතුද?

පොදු SaaS පිටු සැමට විවෘතව තිබිය හැකි අතර, ඒවා පිටුපස ඇති පරිපාලන මෙහෙයුම් VPN-ට පිටත සිටින සැමගෙන්ම ප්‍රතික්ෂේප කරයි. මෙය හැකි කරන යාන්ත්‍රණය සැඟවුණු මෙනුවක් හෝ වෙනම පිවිසුම් පිටුවක් නොවේ; එය ඉල්ලීම ගෙන ආ ජාල මාර්ගයේ පරීක්ෂාවකි. ලිපින සාක්ෂිය වැරදුනහොත් පරීක්ෂාව සැබෑ පරිපාලකයන් ඉවත් කරයි, නැතහොත් ශීර්ෂයක් ටයිප් කළ හැකි ඕනෑම කෙනෙකුට ඇතුළට ඉඩ දෙයි. මූලය සැබවින්ම ලබා ගන්නා දෙයින් ආරම්භ කරන්න.

ටනලයෙන් පසු මූලය සැබවින්ම ලබා ගන්නා දේ

අන්තර්ජාල ගමනාගමනය ද ගෙන යන VPN එකක් හරහා බ්‍රවුසරය පොදු අඩවියට ළඟා වන විට, ගේට්වේ එය පිටවීමට පෙර සම්බන්ධතාවය පරිවර්තනය කරයි. SaaS ගේට්වේහි පොදු එග්‍රස් ලිපිනය දකියි, සාමාන්‍යයෙන් එක් ලිපිනයක් හෝ කුඩා පරාසයක්, සහ ලැප්ටොප් එකේ ටනල් ලිපිනය කිසිදා නොදකියි. එබැවින් 10.90.0.42 අනුමත ලැයිස්තුවට ඇතුළත් කිරීම අසාර්ථක වේ, එබැවින් සම්පූර්ණ RFC 1918 ඇතුළත් කිරීම තවත් හයියෙන් අසාර්ථක වේ: දෙවැන්න ඔබට ළඟා විය හැකි සෑම පුද්ගලික ජාලයකටම ඇතුළට ඉඩ දෙයි. කොන්දේසියක් වටිනා එකම ලිපිනය ඔබේ සංවිධානය පිටවීමේදී සැබවින්ම හිමිකම් කියන ලිපිනයයි.

curl -s https://ifconfig.me
dig +short admin.example.com

විභක්ත ටනල්කරණය මෙම උපකල්පනය නිහඬව බිඳ දමයි. VPN පුද්ගලික කාර්යාල මාර්ග පමණක් ගෙන යන්නේ නම්, පොදු පරිපාලන සත්කාරක නාමයට ඇති ඉල්ලීම දේශීය ISP හරහා පිටව යයි, මූලය නිවාස ලිපිනයක් දකියි. සම්බන්ධිත VPN නිරූපකය මෙම නිශ්චිත ගමනාන්තය ගැන කිසිවක් ඔප්පු නොකරයි, එබැවින් ටනලය නොව ගමනාන්තය පරීක්ෂා කරන්න.

පිටවීමේ ලිපිනය පරිශීලකයා අනුව වෙනස් වේ නම් ඕනෑම ප්‍රතිපත්තියක් ලිවීමට පෙර නවතින්න, මාර්ගගත කිරීම නිවැරදි කරන්න. සමහර පරිපාලකයන්ට පමණක් ගැළපෙන කොන්දේසියක් කිසිදු කොන්දේසියක් නොමැති වීමට වඩා නරකය, මන්ද එය සිදුවීමක් සිදුවන තෙක් ගැටලුව සඟවයි.

ලිපිනය නැවත ලියන ප්‍රොක්සියට පමණක් විශ්වාස කරන්න

බොහෝ පොදු අඩවි CDN හෝ ප්‍රතිලෝම ප්‍රොක්සියක් පිටුපස ඇත, එබැවින් මූලයේ සොකට් ලිපිනය අමුත්තාට නොව එම ඉදිරිපසට අයත් වේ. ඉදිරිපස සාමාන්‍යයෙන් මුල් ලිපිනය ශීර්ෂයකින් යොමු කරයි, සහ මූලය එය දන්නා ප්‍රොක්සිවලින් පමණක් පිළිගන්නේ නැත්නම් එම ශීර්ෂය ප්‍රහාරකයාගේ පාලනයේ ඇත. විශ්වාසනීය මූලාශ්‍ර ලැයිස්තුව පැහැදිලිව වින්‍යාසගත කර මූලය වෙනත් ඕනෑම තැනකින් ළඟා විය නොහැකි කරන්න. එම දෙවන භාගය නොමැතිව ප්‍රහාරකයා ප්‍රොක්සිය මඟ හැර ශීර්ෂය සෘජුව යවයි.

set_real_ip_from 192.0.2.0/24;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
curl -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin

එම තර්කයම PROXY ප්‍රොටෝකෝලයට ද අදාළ වේ: එය විශ්වාසනීය වන්නේ සවන්දෙන්නා ප්‍රොක්සියට ළඟා විය හැකි සහ වෙන කිසිවකට ළඟා විය නොහැකි අතුරුමුහුණතකට බැඳී ඇති විටදී පමණි. නොමැති ලිපින සන්දර්භය ආරක්ෂිත පරීක්ෂාව අසාර්ථක කළ යුතුය, පෙරනිමි අවසරයකට වැටිය යුතු නැත. නොමැති ශීර්ෂයක් විශ්වාසනීය මාර්ගයක සාක්ෂියක් නොවේ.

කොන්දේසිය සෑම ආරක්ෂිත මෙහෙයුමකටම සම්බන්ධ කරන්න

පරීක්ෂාව මෙනුව පෙන්වන පිටුවේ නොව, සෑම ආරක්ෂිත මෙහෙයුමක්ම හරහා යන අවසර සීමාවේ තබන්න. මාර්ග සමූහ, මධ්‍යමෘදුකාංග හෝ ප්‍රතිපත්ති ස්ථරය සියල්ලම ක්‍රියා කරයි; එක් එක් හැසිරවුම්කරුට පිටපතක් ක්‍රියා නොකරයි, මන්ද ඊළඟ කාර්තුවේ යමෙකු එකතු කරන හැසිරවුම්කරුට එය නොතිබේ.

user = requireAuthenticatedSession()
requirePermission(user, "admin")
requireVpnEgress(verifiedClientAddress(request))
performProtectedOperation(user, request)

එම සීමාව JSON API, අපනයන, අත්සන් කළ බාගැනීම් URL සහ WebSocket අත් හස්තය ද ආවරණය කළ යුතුය, මන්ද ඒවායින් කිසිවකට පළමුව HTML පිටුව ඉල්ලීමට අවශ්‍ය නොවේ. VPN ක්‍රියාත්මකව තිබියදී සාදන ලද බාගැනීම් සබැඳිය, බාගැනීම් අන්ත ලක්ෂ්‍යය නැවත පරීක්ෂා නොකරන්නේ නම් පසුව ද වලංගුව පවතී. දිගුකාලීන සැසිවලට ද නැවත ඇගයීමේ රීතියක් අවශ්‍යය, නැතහොත් එක් සත්‍යාපිත ඉල්ලීමක් ස්ථිර නිදහසක් බවට පත්වේ. පෙරනිමි ප්‍රතික්ෂේපය පමණක් සේවක පිරිවැටුමට ඔරොත්තු දෙන එකම සැකසුමයි.

හවුල් කෑෂ් පරීක්ෂාව වටා ඇති අනෙක් මාර්ගයයි. දැනටමත් ආරක්ෂිත ප්‍රතිචාරයක් රඳවා ඇති කෑෂ් එකකට මූලයට සම්බන්ධ නොවී එය සැපයිය හැක, එබැවින් පරිපාලන ප්‍රතිචාර පුද්ගලික ලෙස සලකුණු කර හවුල් ගබඩාවෙන් ඉවත් කරන්න. කෑෂ් එකකට ඒවා සැපයීමට සිදු වුවහොත්, ප්‍රවේශ පරීක්ෂාව සැපයීමට පෙර ක්‍රියාත්මක විය යුතුය, එනම් සාමාන්‍යයෙන් එය කිසිසේත් හවුල් කෑෂ් එකක් විය නොහැක.

ඔබ දැන් වැසූ මඟහැරීම් පරීක්ෂා කරන්න

සුඛෝපභෝගී මාර්ගය නොව, න්‍යාසය පුහුණු වන්න: VPN හරහා පරිපාලකයෙක්, එය නොමැතිව එම පරිපාලකයා, එය හරහා පරිපාලක නොවන අයෙක්, සහ ව්‍යාජ ලිපින ශීර්ෂයක්. මූලයට සෘජු ඉල්ලීමක් සහ කෑෂ් කළ ප්‍රතිචාර ඉල්ලීමක් එකතු කරන්න, මන්ද ඒ දෙකම ඉදිරිපස සම්පූර්ණයෙන් මඟ හරියි.

curl -sI https://admin.example.com/export.csv
curl -s -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin
curl -s https://admin.example.com/api/me -o /dev/null -w '%{http_code}\n'

සෑම ඉල්ලීමක්ම ප්‍රතිපත්තිය පොරොන්දු වන තත්ත්වය ආපසු දිය යුතුය, ලොගය කුමන ලිපින සාක්ෂිය භාවිතා කළාද යන්න වාර්තා කළ යුතුය. IPv6 වෙන වෙනම ආවරණය කරන්න, මන්ද ද්වි-ස්ටැක් මූලයක් ඔබ පරීක්ෂා කළ පවුලට වඩා වෙනස් මූලාශ්‍ර පවුලක් දැකිය හැක. සාමාන්‍ය පාරිභෝගික මෙහෙයුම් VPN-ට පිටත ක්‍රියාත්මක වීමට ඉඩ දෙන්න, නැතහොත් පාරිභෝගිකයෙකු පළමු වරට පැමිණිලි කළ විට වෙනස ආපසු හරවනු ලැබේ. එක් එක් පේළියේ අපේක්ෂිත ප්‍රතිඵලය ක්‍රියාත්මක කිරීමට පෙර ලියන්න, එවිට පුදුම සහගත සමත්වීමක් දෘශ්‍යමාන වේ.

එග්‍රස් ලිපිනය අනුමත ජාල මාර්ගයක් ඔප්පු කරයි, පුද්ගලයෙකු හෝ කළමනාකරණය කළ උපාංගයක් නොවේ. එය සත්‍යාපනය හා අවසරය අසල එක් කොන්දේසියක් ලෙස තබන්න, සම්පූර්ණ නිෂ්පාදනය VPN-පමණක් සේවාවක් නොකර පරිපාලන ප්‍රදේශය පටුව පවතී. එම වෙන්වීම නිර්මාණයයි, එහි සීමාව නොවේ.