Lammaanaha socket-ka ama madaxa la gudbiyay: cinwaan kee baad aammanaysaa?

Codsi yimaada barnaamijkaaga wuxuu wataa laba nooc oo caddayn cinwaan ah: lammaanaha furay xidhiidhka shabakadda, iyo goob HTTP oo sheegata cinwaanka macmiil hore. Waxay ka jawaabaan su'aalo kala duwan. Lammaanaha socket-ka waa la fiirsadaa, halka madaxa uu sheegto qofkii qoray, oo midkoodna si aamusan kama beddelo kan kale diiwaanka ama qaanuunka gelitaanka. Isbarbardhigga hoose wuxuu kala hayaa labadooda, ka dibna wuxuu muujinayaa isku-dukka kaliya ee madaxu ku noqdo mid la isticmaali karo.

Sharax jidka ka hor inta aadan wax isbarbar dhiggin:

Client -> approved reverse proxy -> application origin

Isku-dukkaas, lammaanaha socket-ka ee asalka waa proxy sida caadiga ah, oo madaxa gudbintu wuxuu qaadan karaa sheegashada proxy-ga ee ku saabsan macmiilka. Qiimihiisu wuxuu ka yimaadaa xidhiidhka la maamulo proxy-gaas, ma aha magaca madaxa.

Laba nooc oo caddayn cinwaan ah

Lammaanaha socket-ka waa xaqiiqo ku saabsan hal xidhiidh TCP: wax baa dhammaystay gacan-qaadasho cinwaankaas. Ma aha qasab inuu yahay qofka, qalabka ama akoonka aad danaynaysid, sababtoo ah VPN ama bixitaan Tor waxay si sharci ah u noqon karaan isha ay adeeggu fiirsado. Si kastaba ha ahaatee waa cinwaanka kaliya ee martigeliyaha laftiisu xaqiijiyay, oo taas waa qiimihiisa oo dhan.

Goobta gudbintu waa xog-macluumaad ku saabsan silsilad. X-Forwarded-For, X-Real-IP iyo goobta la jaangooyay Forwarded waxaa qori kara macmiil kasta oo gaadha barta ugu dambeysa ee iyaga celisa, sidaas darteed aaminaaddoodu gabi ahaan waxay ku xiran tahay cidda loo ogolaaday inay dejiyaan.

Labadaba ku hay macnaha codsiga magacyo kala duwan. Barnaamijka ku qora lammaanaha madaxa wuxuu lumiyaa awoodda uu mar dambe dib u dhiso khalad kalsooni, oo taasi waa saxda waqtiga aad u baahan tahay.

Madaxu waligiis ma beddelo jidka xidhiidhka

Qorista cinwaan goobta gudbintu ma beddelo isha xidhiidhka TCP ee yimaada server-ka, oo meelna jidka kama beddelo duulista. Duulista caadiga ah ee VPN ama NAT isha waxay gaarsiisaa taraafikada iyada oo aan lahayn wax madax HTTP ah. Sidoo kale, iridda gudbintu ma dib u qorto isdhaafsiga HTTPS ee si habboon loo ilaaliyay iyada oo aan beddelin isku-dukka barta ugu dambeysa TLS.

Khaladka lidka ah ayaa isna caan ah: HTTPS ma ka dhigto run madaxa gudbinta ee macmiilku bixiyay. Waxay ilaalisaa gaarsiinta sheegasho been ah si la mid ah mid run ah.

Haddii saaxiib shaqeeye soo jeediyo isbeddel madax ah si loo hagaajiyo dhibaato duulineed, ogaanshaha horeba wuu qaldanaa. Hagaaji jidka, ama hagaaji habaynta proxy-ga qora madaxa.

Magacaab proxy-ga loo ogolaaday inuu sheegto

Laba qaanuun ayaa ka dhigaya goobta gudbinta mid la isticmaali karo, oo labaduba waa habayn ma aha kood. Cidhifku wuxuu caadiyeeyaa ama tuuraa wax kasta oo ka yimaada dibadda, sida uu yahay dhaqankiisa la diiwaangeliyay ee goobahaas. Kadib asalku wuxuu cinwaan beddel ka qaataa jidka proxy-ga aad magacaabtay oo aan meel kale ka qaadan. Qaanuunka labaad wuxuu shaqeeyaa kaliya inta macmiilladu aysan si kale u gaadhi karin asalka, sababtoo ah asal ka jawaaba codsiyada tooska ah iyo kuwa proxy-ga labadaba ma oga cidda u adeegayo.

Qaybta IP-ga dhabta ah ee NGINX waxay si cad u muujinaysaa kala qaybsanaanta. set_real_ip_from wuxuu magacaabaa soo-diriyeyaasha la tixgeliyo sheegashadooda, iyo real_ip_header wuxuu sheegaa goobta qaadaysa; kan hore wuxuu sameeyaa kalsoonida, kan dambe wuxuu kaliya sheegaa halka la eegayo.

set_real_ip_from 10.20.0.0/24;
real_ip_header X-Forwarded-For;
# real_ip_recursive off - take the rightmost value in the field
# real_ip_recursive on  - walk the list back past every trusted address

Amar doorasho madax oo keliya weli ma caddeeyo wax ku saabsan cidda u dirtay qiimaha.

Ammaanka gaarsiintu waa inuu socdaa jidka oo dhan inta u dhaxaysa qaybaha aad aammanaysid. Cidhif si sax ah wax u caadiyeeya wuxuu lumiyaa qiimahaas isla markii tallaabo aan la ilaalin hoos ku taal u ogolaato qof kale inuu wax ka beddelo sheegashada inta ay safarka ku jirto.

Si ula kac ah wax uga qabo silsiladaha tallaabooyin badan

Proxy-yo badan waxay u baahan yihiin qaab silsilad cad. Ha qaadan qiimaha bidix ama midig ee comma-ku kala soocay sababtoo ah qoraal blog baa sidaa sameeyay; ogaaw kee ka mid ah proxy-yadaada wax ku daro, kee beddelo iyo kee ilaaliyo goobta soo gasha. Tusaale ahaan, NGINX wuxuu liiska dib ugu gudbi karaa marka la barbardhigo xayndaabkiisa la aamminay oo wuu istaagi karaa cinwaanka ugu horreeya ee uusan lahayn, oo taasi waa qaanuunka alaabtaas ma aha sharci ay raacaan qaabab kasta. Akhri dukumeentiga proxy-gaaga adigoo isticmaalaya labada su'aalood: qiimaha kee buu doortaa, oo soo-diriyeyaal kee buu aamminaa?

Qor silsiladda: nidaamka tallaabooyinka, tallaabada kee dejiyo goobta iyo tallaabada kee tirtirto nuqullada soo gasha. Kadib hay qoraalkaas agteeda habaynta proxy-ga, ma aha kaliya tikitka. Kadib tijaabi adigoo u diraya codsi madax been abuur ah leh iyada oo loo marayo habka xaqiijinta ee la ansixiyay oo aad xaqiijiso in asalku iska indhatirayo.

Markaad tallaabo ku darto, dib u eeg dukumeentigaas. Culeyska isku-dheellitirka cusub ee la geliyay hortaanka proxy-ga la aamminay wuxuu beddeli karaa cinwaanka guuleysta iyada oo aan qofna wax ka beddelin barnaamijka.

Labada fiirsasho ku hay diiwaanka

Meelaha ogaanshaha loo ogolaaday, diiwaangeli lammaanaha xidhiidhka iyo cinwaanka macmiilka la caadiyeeyay sida laba goob oo kala duwan, oo ku dar kaliya xog-macluumaadka gudbinta ee ujeedadu runtii u baahan tahay. Kadib ku caddee daabacaadda laba codsi: mid proxy-ga mara oo ay tahay inuu si macquul ah u diiwaangaliyo labada qiime, iyo isku day toos ah oo xagga asalka ah oo waa in la diido.

Xusuuso waxa lammaanuhu ka dhigan yahay. Madaxu wuxuu ku daraa macne ay bixiso qayb aad dooratay inaad aammanaysid; lammaanuhu wuxuu ahaanayaa cinwaanka kaliya ee martigeliyahaagu runtii arkay. Midkoodna ma aha caddayn aqoonsi shaqsi, oo naqshad u qaadata midkood caddayn ahaan waxay ku khaldami doontaa qof.