Eneo la uendeshaji la SaaS nyuma ya VPN: ni anwani gani ya kuaminiwa?

Kurasa za umma za SaaS zinaweza kubaki wazi kwa kila mtu huku shughuli za uendeshaji zilizo nyuma yao zikikataa yeyote aliye nje ya VPN. Utaratibu unaofanya hilo liwezekane si menyu iliyofichwa wala ukurasa tofauti wa kuingia; ni ukaguzi wa njia ya mtandao iliyoleta ombi. Ukipata kosa la ushahidi wa anwani, ukaguzi ama huwafungia nje wasimamizi halisi au hukubali yeyote anayeweza kuandika kichwa. Anza na kile chanzo hupokea kwa hakika.

Kile chanzo hupokea kwa hakika baada ya handaki

Wakati kivinjari kinafika kwenye tovuti ya umma kupitia VPN ambayo pia hubeba trafiki ya intaneti, lango hutafsiri muunganisho kabla ya kuondoka. SaaS huona anwani ya umma ya kutoka ya lango, kwa kawaida anwani moja au masafa madogo, na kamwe haiioni anwani ya handaki ya kompyuta mpakato. Ndiyo sababu kuongeza 10.90.0.42 kwenye orodha inayoruhusiwa kunashindikana, na ndiyo sababu kuongeza RFC 1918 yote kunashindikana kwa sauti kubwa zaidi: la pili hukubali kila mtandao wa kibinafsi unaoweza kukufikia. Anwani pekee inayostahili sharti ni ile ambayo shirika lako linamiliki kwa hakika kwenye njia ya kutoka.

curl -s https://ifconfig.me
dig +short admin.example.com

Handaki iliyogawanywa huvunja dhana hiyo kimya kimya. Ikiwa VPN hubeba njia za ofisi za kibinafsi pekee, ombi kwa jina la mwenyeji wa uendeshaji wa umma hutoka kupitia mtoa huduma wa ndani na chanzo huona anwani ya makazi. Aikoni ya VPN iliyounganishwa haithibitishi chochote kuhusu lengo hili mahususi, kwa hiyo jaribu lengo na si handaki.

Simama na urekebishe uelekezaji kabla ya kuandika sera yoyote ikiwa anwani ya kutoka inatofautiana kwa mtumiaji. Sharti linalolingana na wasimamizi wachache tu ni mbaya kuliko kutokuwa na sharti, kwa sababu huficha tatizo hadi tukio.

Amini wakala anayeandika upya anwani pekee

Tovuti nyingi za umma ziko nyuma ya CDN au wakala wa kinyume, kwa hiyo anwani ya soketi ya chanzo ni ya mbele hiyo na si ya mgeni. Mbele kwa kawaida hupeleka anwani ya awali katika kichwa, na kichwa hicho kinadhibitiwa na mshambuliaji isipokuwa chanzo kikikubali kutoka kwa wakala wanaojulikana pekee. Sanidi orodha ya vyanzo vinavyoaminika kwa uwazi na ufanye chanzo kisifikike kutoka mahali pengine popote. Bila nusu hiyo ya pili, mshambuliaji hupita wakala na kutuma kichwa moja kwa moja.

set_real_ip_from 192.0.2.0/24;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
curl -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin

Hoja hiyo hiyo inatumika kwa itifaki ya PROXY: inaaminika tu wakati msikilizaji amefungwa kwenye kiolesura ambacho wakala anaweza kufikia na hakuna kingine kinachoweza. Muktadha wa anwani unaokosekana lazima ufanye ukaguzi uliolindwa ushindikane badala ya kuanguka kwenye ruhusa ya chaguo-msingi. Kichwa kisichopo si ushahidi wa njia inayoaminika.

Ambatisha sharti kwa kila operesheni iliyolindwa

Weka ukaguzi kwenye mpaka wa uidhinishaji ambao kila operesheni iliyolindwa hupitia, si kwenye ukurasa unaoonyesha menyu. Vikundi vya njia, middleware au tabaka la sera vyote hufanya kazi; nakala kwa kila mshughulikiaji haifanyi kazi, kwa sababu mshughulikiaji ambaye mtu ataongeza robo ijayo hatakuwa nayo.

user = requireAuthenticatedSession()
requirePermission(user, "admin")
requireVpnEgress(verifiedClientAddress(request))
performProtectedOperation(user, request)

Mpaka huo huo lazima ufunike JSON API, mauzo ya nje, URL za upakuaji zilizosainiwa na kupeana mkono kwa WebSocket, kwa kuwa hakuna hata moja inayohitaji ukurasa wa HTML kuombwa kwanza. Kiungo cha upakuaji kilichoundwa wakati VPN ilikuwa hai kinabaki halali baadaye isipokuwa sehemu ya mwisho ya upakuaji ikague tena. Vikao vya muda mrefu pia vinahitaji sheria ya kutathmini upya, vinginevyo ombi moja lililothibitishwa huwa msamaha wa kudumu. Kukataa kwa chaguo-msingi ndiyo mpangilio pekee unaostahimili mabadiliko ya wafanyakazi.

Akiba za pamoja ni njia nyingine kuzunguka ukaguzi. Akiba ambayo tayari ina jibu lililolindwa inaweza kulitoa bila kuwasiliana na chanzo, kwa hiyo weka alama kwenye majibu ya uendeshaji kama ya kibinafsi na uyaweke nje ya hifadhi ya pamoja. Ikiwa akiba inapaswa kuyatoa, ukaguzi wa ufikiaji lazima uendeshwe kabla ya kutoa, ambayo kwa kawaida inamaanisha haiwezi kuwa akiba ya pamoja hata kidogo.

Jaribu njia za kupita ulizofunga hivi punde

Fanya mazoezi ya matriki badala ya njia ya furaha: msimamizi kupitia VPN, msimamizi huyo huyo bila hiyo, asiye msimamizi kupitia hiyo, na kichwa cha anwani kilichoghushiwa. Ongeza ombi la moja kwa moja kwa chanzo na ombi la jibu lililohifadhiwa, kwa sababu hayo mawili ndiyo yanayopita mbele kabisa.

curl -sI https://admin.example.com/export.csv
curl -s -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin
curl -s https://admin.example.com/api/me -o /dev/null -w '%{http_code}\n'

Kila ombi linapaswa kurudisha hali ambayo sera inaahidi, na kumbukumbu inapaswa kurekodi ni ushahidi gani wa anwani uliotumika. Funika IPv6 kwa tofauti, kwa sababu chanzo cha rafu mbili kinaweza kuona familia ya vyanzo tofauti na ile uliyojaribu. Weka shughuli za kawaida za wateja zikifanya kazi nje ya VPN, vinginevyo mabadiliko yatarudishwa mara ya kwanza mteja analalamika. Andika matokeo yanayotarajiwa kwa kila safu kabla ya kuendesha, ili pasi ya kushangaza ionekane.

Anwani ya kutoka inathibitisha njia ya mtandao inayoruhusiwa, si mtu na si kifaa kinachosimamiwa. Iweke kama sharti moja kando ya uthibitishaji na ruhusa, na eneo la uendeshaji linabaki jembamba bila kugeuza bidhaa yote kuwa huduma ya VPN pekee. Utengano huo ni muundo, si kikwazo chake.