Aagga maamulka SaaS ee ka dambeeya VPN: ciwaan kee la aamini karaa?

Bogagga dadweynaha ee SaaS way furan karaan qof walba, halka hawlgallada maamulka ee ka dambeeya ay diidaan qof kasta oo ka baxsan VPN. Habka taas suurtageliyo ma aha menu qarsoon ama bog gelitaan gooni ah; waa hubinta wadada shabakadda ee soo gudbisay codsiga. Haddii caddaynta ciwaanku khaldanto, hubintu waxay ama xidhaa maamulayaasha dhabta ah ama waxay soo dhex gelisaa qof kasta oo qori kara header. Ka bilow waxa asalku dhab ahaan helo.

Waxa asalku dhab ahaan helo tunnel-ka ka dib

Marka browser-ku gaaro site-ka dadweynaha iyada oo loo marayo VPN sidoo kale qaada trafficka internetka, gateway-ku wuxuu turjuntaa xidhiidhka ka hor inta uusan bixin. SaaS wuxuu arkaa ciwaanka bixista dadweynaha ee gateway-ka, sida caadiga ah hal ciwaan ama kala duwanaansho yar, iyo marnaba ma arko ciwaanka tunnel-ka laptop-ka. Taasi waa sababta ku darista 10.90.0.42 liiska la ogolaaday ay ku guuldareysto, iyo sababta ku darista RFC 1918 oo dhan ay si ka xoog badan ugu guuldareysto: tan labaad waxay soo dhex gelisaa shabakad kasta oo gaar ah oo ku gaari karta. Ciwaanka kaliya ee mudan shuruud waa kan ay ururkaagu dhab ahaan leeyahay bixista.

curl -s https://ifconfig.me
dig +short admin.example.com

Tunnel-ka kala go'an ayaa si aamusnaan ah u jebiya mala-awaalkan. Haddii VPN-ku qaado oo kaliya wadooyinka xafiiska gaarka ah, codsiga magaca martigeliyaha maamulka dadweynaha wuxuu ka baxaa ISP-ga maxalliga ah asalkuna wuxuu arkaa ciwaan degaan. Astaanta VPN ee xidhan waxba ma caddaynayso oo ku saabsan yoolkan gaar ah, sidaas darteed tijaabi yoolka ma aha tunnel-ka.

Iso jooji oo hagaaji marinka ka hor inta aadan qorin siyaasad kasta haddii ciwaanka bixista uu ku kala duwan yahay isticmaale kasta. Shuruud la mid ah oo kaliya qaar ka mid ah maamulayaasha ayaa ka xun shuruud la'aan, sababtoo ah waxay qarinaysaa dhibaatada ilaa dhacdo.

Kaliya aamin proxy-ga dib u qora ciwaanka

Inta badan site-yada dadweynaha waxay ka dambeeyaan CDN ama proxy rogan, sidaas darteed ciwaanka socket-ka asalku waa kan hore ee ma aha midka booqde. Hore wuxuu inta badan u gudbiyaa ciwaanka asalka ah header, iyo header-kaas waxaa maamula weeraryahan ilaa asalku ka aqbalo kaliya proxy-yo la yaqaan. Si cad u habee liiska ilo la aamini karo oo ka dhig asalka mid aan laga gaari karin meel kale. Iyada oo aan lahayn qaybtaas labaad, weeraryahanku wuxuu dhaafi doonaa proxy-ga oo toos u diraa header-ka.

set_real_ip_from 192.0.2.0/24;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
curl -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin

Isla sababtaas waxay khuseysaa borotokoolka PROXY: waa la aamini karaa oo kaliya marka dhageystuhu ku xidhan yahay interface uu proxy-ga gaari karo oo aan wax kale gaari karin. Macnaha ciwaanka oo maqan waa inuu fashilmo hubinta la ilaaliyay halkii uu ku dhici lahaa fasax caadi ah. Header maqan ma aha caddayn wado la aamini karo.

Ku lifaaq shuruudda fal kasta oo la ilaaliyay

Hubinta dhig xadka oggolaanshaha ee fal kasta oo la ilaaliyay maro, ma aha bogga sawira menu-ga. Kooxaha wadada, middleware ama lakab siyaasad dhammaantood way shaqeeyaan; nuqul handler kasta ma shaqeeyo, sababtoo ah handler-ka qofku ku daro rubucdan xigga ma lahaan doono.

user = requireAuthenticatedSession()
requirePermission(user, "admin")
requireVpnEgress(verifiedClientAddress(request))
performProtectedOperation(user, request)

Isla xadkaas waa inuu daboolaa JSON API, dhoofinta, URL-yada soo dejinta ee saxeexan iyo gacan-qaadka WebSocket, maadaama midkoodna aanu u baahnayn bogga HTML in la codsado marka hore. Xiriirka soo dejinta ee la abuuray inta VPN-ku shaqeynayay wuxuu ahaanayaa mid ansax ah ka dibna ilaa barta soo dejintu dib u hubiso. Fadhiyada muddada dheer waxay sidoo kale u baahan yihiin qaanuun dib-u-qiimeyn, haddii kale hal codsi la xaqiijiyay wuxuu noqonayaa ka-tagid joogto ah. Diidmada caadiga ah waa oo kaliya dejinta ka badbaadda isbeddelka shaqaalaha.

Kaydka la wadaago ayaa ah wadada kale ee ku wareegsan hubinta. Kaydka horey u haysta jawaab la ilaaliyay wuxuu u adeegi karaa isagoo aan la xiriirin asalka, sidaas darteed calaamadee jawaabaha maamulka mid gaar ah oo ka fogee kaydka la wadaago. Haddii kaydku qasab ku adeegto iyaga, hubinta gelitaanku waa inay socotaa ka hor adeegga, taas oo caadi ahaan macnaheedu yahay inuusan haba yaraatee noqon karin kayd la wadaago.

Tijaabi marinnada aad hadda xidhay

Tababar matrix-ka ma aha wadada farxadda: maamule VPN-ga mara, isla maamulkaas oo aan lahayn, qof aan maamule ahayn oo mara, iyo header ciwaan been abuur ah. Ku dar codsi toos ah oo asalka ah iyo codsi jawaab kaydsan leh, sababtoo ah labadaas ayaa gabi ahaanba dhaafa hore.

curl -sI https://admin.example.com/export.csv
curl -s -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin
curl -s https://admin.example.com/api/me -o /dev/null -w '%{http_code}\n'

Codsi kastaa waa inuu soo celiyaa heerka siyaasaddu ballanqaaday, log-ku waa inuu diiwaangeliyaa caddaynta ciwaanka la isticmaalay. IPv6 si gooni ah u dabool, sababtoo ah asal laba-stack ah wuxuu arki karaa qoys ilo ka duwan kii aad tijaabisay. Hawlgallada macmiilka caadiga ah ka shaqeysii baxsan VPN, haddii kale isbeddelka waa la rogi doonaa markii ugu horreysay ee macmiil caban. Qor natiijada la filayo saf kasta ka hor inta aadan socodsii, si guul lama filaan ah u muuqato.

Ciwaanka bixista wuxuu caddeeyaa wado shabakadeed la ogolaaday, ma aha qof iyo ma aha qalab la maamulo. Ku hay hal shuruud oo ku xigta xaqiijinta iyo oggolaanshaha, aagga maamulkuna wuu sii ahaanayaa mid cidhiidhi ah iyada oo aan dhammaan badeecada laga dhigin adeeg VPN-kaliya. Kala-soociddaas waa naqshadda, ma aha xaddidkeeda.