Затворите привремени преглед пре него што постане трајан

Рецензенту који не може да се повеже на VPN потребна је веза за једно поподне, а до вечери продукцијска услуга има јавно име хоста за које се нико не сећа да га је одобрио. Захтев је био мали; промена није. Привремени преглед је нови пут приступа са публиком, обимом података и временом завршетка. Третирајте га као сваки други улаз, јер реч привремен не затвара ништа.

Привремено је трајање, не контрола

Реч привремен описује колико дуго нешто треба да постоји, а не шта га ограничава док постоји. Јавно име хоста без рока важења постаје трајно у тренутку када особа која га је направила промени тим.

Пре него што било шта буде изложено, власник услуге и власник безбедности треба да одобре три ствари: публику, податке и трајање.

Постојеће окружење гостујућег VPN-а или рецензије често је једноставније од објављивања продукцијске услуге. Оно већ има власника, пут одобрења и процес уклањања. Изградња новог изузетка за једно поподне је начин на који мали захтев постаје трајно средство. Почните питањем да ли рецензија може да се одвије унутар нечега што већ постоји.

Објавите једну операцију, никада подмрежу

Изаберите најмањи улаз који још подржава рецензију. Преферирајте копију у тестном окружењу са одговарајућим подацима уместо продукције и аутентификовани фронтенд који достиже једно приватно порекло уместо било које руте подмреже.

Релеј са доступношћу VPN-а не мора да објави целу приватну подмрежу и сигурно не би требало да објави административни интерфејс мрежног пролаза.

Именујте налоге којима је дозвољен пролаз и радње које могу да изврше. Ограничавање по изворној IP адреси заиста сужава ко може да се повеже. Али не идентификује особу, јер се јавне адресе деле и мењају.

Задржите сопствену ауторизацију апликације или изричито поуздан улаз који познаје идентитет. Заштите преузимања, API-је и административне путеве, не само почетну страницу. Фронтенд који завршава TLS постаје поуздана завршна тачка, а приватна рута иза њега не претвара јавног посетиоца у члана VPN-а. Тестирајте искључене путеве једнако пажљиво као почетну страницу.

Идентитет на фронтенду, не у изворној адреси

Правила изворне IP адресе су корисна за сужавање изложености и бескорисна за доказивање ко је рецензент. Кућне везе се мењају, мобилне мреже деле адресе, а колега може бити иза истог NAT-а.

Прокси који познаје идентитет или сопствена пријава апликације даје вам одлуку по особи. То омогућава каснији опозив, јер можете уклонити један идентитет без промене мреже.

Држите проверу сертификата укљученом и блокирајте директан приступ пореклу. Ако је порекло још доступно са интернета, фронтенд је само украс.

Опозовите право и руту

Забележите власника и тачан рок важења у оперативном систему који већ прати приступ. Користите временски ограничен приступ или планирано уклањање где платформа то подржава, и додајте проверу у случају да аутоматизација не успе.

На договореном крају повуците привремени фронтенд, дозволу за руту и право рецензента преко њихових власника. Постојеће сесије и дуготрајне везе захтевају сопствени третман, јер уклоњена рута их не завршава.

Кратак DNS TTL није истек приступа. Он мења колико дуго разрешивач чува одговор. Не онемогућава налог, не прекида живу сесију и не затвара порт који још слуша.

Кеширане копије су део истог проблема. Скидање пута до порекла не враћа датотеку коју је неко већ сачувао, а дељени кеш може да служи копије након што релеј нестане. Изаберите политику одговора и складиштења пре почетка рецензије.

Проверите да је стари пут заиста нестао

Прихватање је нови захтев који не успева, плус уобичајени ток рада VPN-а који још функционише. Тестирајте обоје, јер уклањање које квари уобичајени пут није чисто уклањање.

Изван мреже потврдите да су и име и порекло затворени:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

Водите узак ревизорски запис о томе шта је одобрено, ко је могао да то достигне и када је уклоњено. Тај запис је разлика између контролисаног изузетка и необјашњеног имена хоста. Привремени преглед успева када пружи тражену рецензију и затим престане да је пружа. Нестанак URL-а из поруке у чету није тај тест.