VPN-க்குப் பின்னால் உள்ள SaaS நிர்வாகப் பகுதி: எந்த முகவரியை நம்புவது?

பொது SaaS பக்கங்கள் அனைவருக்கும் திறந்திருக்கலாம், அதே நேரத்தில் அவற்றின் பின்னால் உள்ள நிர்வாகச் செயல்பாடுகள் VPN-க்கு வெளியே உள்ள அனைவரையும் நிராகரிக்கின்றன. இதைச் சாத்தியமாக்கும் பொறிமுறை மறைந்த மெனுவோ தனி உள்நுழைவுப் பக்கமோ அல்ல; கோரிக்கையைக் கொண்டு வந்த வலைப்பாதையின் சரிபார்ப்பு அது. முகவரிச் சான்று தவறாக இருந்தால், சரிபார்ப்பு உண்மையான நிர்வாகிகளை வெளியே பூட்டுகிறது அல்லது தலைப்பைத் தட்டச்சு செய்யத் தெரிந்த யாரையும் உள்ளே அனுமதிக்கிறது. மூலம் உண்மையில் என்ன பெறுகிறது என்பதிலிருந்து தொடங்குங்கள்.

சுரங்கத்திற்குப் பிறகு மூலம் உண்மையில் என்ன பெறுகிறது

இணையப் போக்குவரத்தையும் சுமக்கும் VPN வழியாக உலாவி பொது தளத்தை அடையும்போது, நுழைவாயில் வெளியேறும் முன் இணைப்பை மொழிபெயர்க்கிறது. SaaS நுழைவாயிலின் பொது வெளியேறு முகவரியைப் பார்க்கிறது, பொதுவாக ஒரு முகவரி அல்லது சிறிய வரம்பு, மேலும் மடிக்கணினியின் சுரங்க முகவரியை ஒருபோதும் பார்க்காது. அதனால்தான் 10.90.0.42-ஐ அனுமதிப் பட்டியலில் சேர்ப்பது தோல்வியடைகிறது, அதனால்தான் முழு RFC 1918-ஐ சேர்ப்பது இன்னும் சத்தமாகத் தோல்வியடைகிறது: இரண்டாவது உங்களை அடையக்கூடிய ஒவ்வொரு தனியார் வலையமைப்பையும் உள்ளே அனுமதிக்கிறது. நிபந்தனைக்குத் தகுதியான ஒரே முகவரி உங்கள் நிறுவனம் வெளியேற்றத்தில் உண்மையில் வைத்திருக்கும் முகவரி.

curl -s https://ifconfig.me
dig +short admin.example.com

பிளவு சுரங்கமிடல் இந்த அனுமானத்தை அமைதியாக உடைக்கிறது. VPN தனியார் அலுவலகப் பாதைகளை மட்டும் சுமந்தால், பொது நிர்வாக ஹோஸ்ட்பெயருக்கான கோரிக்கை உள்ளூர் இணையச் சேவை வழியாக வெளியேறுகிறது, மூலம் ஒரு குடியிருப்பு முகவரியைப் பார்க்கிறது. இணைக்கப்பட்ட VPN சின்னம் இந்தக் குறிப்பிட்ட இலக்கைப் பற்றி எதையும் நிரூபிக்கவில்லை, எனவே சுரங்கத்தை அல்ல, இலக்கைச் சோதியுங்கள்.

வெளியேறு முகவரி பயனருக்குப் பயனர் மாறினால் எந்தக் கொள்கையையும் எழுதுவதற்கு முன் நிறுத்தி வழியமைப்பைச் சரிசெய்யுங்கள். சில நிர்வாகிகளுடன் மட்டும் பொருந்தும் நிபந்தனை நிபந்தனையே இல்லாததை விட மோசம், ஏனெனில் அது சம்பவம் நடக்கும் வரை சிக்கலை மறைக்கிறது.

முகவரியை மீண்டும் எழுதும் ப்ராக்ஸியை மட்டும் நம்புங்கள்

பெரும்பாலான பொது தளங்கள் CDN அல்லது தலைகீழ் ப்ராக்ஸிக்குப் பின்னால் உள்ளன, எனவே மூலத்தின் சாக்கெட் முகவரி பார்வையாளருக்கு அல்ல, அந்த முன்பகுதிக்கு உரியது. முன்பகுதி பொதுவாக அசல் முகவரியை ஒரு தலைப்பில் அனுப்புகிறது, மேலும் மூலம் அதை அறியப்பட்ட ப்ராக்ஸிகளிடமிருந்து மட்டும் ஏற்காவிட்டால் அந்தத் தலைப்பு தாக்குபவரின் கட்டுப்பாட்டில் இருக்கும். நம்பகமான மூலங்களின் பட்டியலை வெளிப்படையாக உள்ளமைத்து, மூலத்தை வேறு எங்கிருந்தும் அணுக முடியாததாக்குங்கள். அந்த இரண்டாம் பாதி இல்லாவிட்டால், தாக்குபவர் ப்ராக்ஸியைத் தவிர்த்து தலைப்பை நேரடியாக அனுப்புகிறார்.

set_real_ip_from 192.0.2.0/24;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
curl -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin

அதே தர்க்கம் PROXY நெறிமுறைக்கும் பொருந்தும்: கேட்பவர் ப்ராக்ஸி அடையக்கூடிய மற்றும் வேறு எதுவும் அடைய முடியாத இடைமுகத்துடன் பிணைக்கப்பட்டிருக்கும்போது மட்டுமே அது நம்பகமானது. இல்லாத முகவரி சூழல் பாதுகாக்கப்பட்ட சரிபார்ப்பைத் தோல்வியடையச் செய்ய வேண்டும், இயல்புநிலை அனுமதிக்குள் விழக்கூடாது. இல்லாத தலைப்பு நம்பகமான பாதைக்கான சான்று அல்ல.

நிபந்தனையை ஒவ்வொரு பாதுகாக்கப்பட்ட செயல்பாட்டுடனும் இணைக்கவும்

சரிபார்ப்பை மெனுவை வரையும் பக்கத்தில் அல்ல, ஒவ்வொரு பாதுகாக்கப்பட்ட செயல்பாடும் கடக்கும் அங்கீகார எல்லையில் வையுங்கள். வழி குழுக்கள், மிடில்வேர் அல்லது கொள்கை அடுக்கு அனைத்தும் வேலை செய்கின்றன; ஒவ்வொரு கையாளருக்கும் நகல் வேலை செய்யாது, ஏனெனில் அடுத்த காலாண்டில் யாராவது சேர்க்கும் கையாளரிடம் அது இருக்காது.

user = requireAuthenticatedSession()
requirePermission(user, "admin")
requireVpnEgress(verifiedClientAddress(request))
performProtectedOperation(user, request)

அதே எல்லை JSON API, ஏற்றுமதிகள், கையொப்பமிடப்பட்ட பதிவிறக்க URL-கள் மற்றும் WebSocket கைக்குலுக்கலை உள்ளடக்க வேண்டும், ஏனெனில் அவற்றில் எதற்கும் முதலில் HTML பக்கத்தைக் கோர வேண்டியதில்லை. VPN இயங்கியபோது உருவாக்கப்பட்ட பதிவிறக்க இணைப்பு, பதிவிறக்க முடிவுப்புள்ளி மீண்டும் சரிபார்க்காத வரை பின்னரும் செல்லுபடியாகும். நீண்டகால அமர்வுகளுக்கும் மறுமதிப்பீட்டு விதி தேவை, இல்லையெனில் ஒரு அங்கீகரிக்கப்பட்ட கோரிக்கை நிரந்தர விலக்காக மாறும். இயல்புநிலை மறுப்பே பணியாளர் மாற்றத்தைத் தாண்டி நிலைக்கும் ஒரே அமைப்பு.

பங்கிடப்பட்ட தற்காலிகச் சேமிப்புகள் சரிபார்ப்பைச் சுற்றியுள்ள மற்றொரு வழி. ஏற்கனவே பாதுகாக்கப்பட்ட பதிலை வைத்திருக்கும் தற்காலிகச் சேமிப்பு, மூலத்தைத் தொடர்பு கொள்ளாமல் அதை வழங்க முடியும், எனவே நிர்வாகப் பதில்களைத் தனிப்பட்டதாகக் குறித்து பங்கிடப்பட்ட சேமிப்பகத்திற்கு வெளியே வையுங்கள். ஒரு தற்காலிகச் சேமிப்பு அவற்றை வழங்க வேண்டும் என்றால், அணுகல் சரிபார்ப்பு வழங்குவதற்கு முன் இயங்க வேண்டும், அதாவது பொதுவாக அது பங்கிடப்பட்ட தற்காலிகச் சேமிப்பாகவே இருக்க முடியாது.

நீங்கள் இப்போது மூடிய பைபாஸ்களைச் சோதியுங்கள்

மகிழ்ச்சியான பாதையை அல்ல, மேட்ரிக்ஸைப் பயிற்சி செய்யுங்கள்: VPN வழியாக ஒரு நிர்வாகி, அது இல்லாமல் அதே நிர்வாகி, அதன் வழியாக நிர்வாகி அல்லாதவர், மற்றும் போலியான முகவரித் தலைப்பு. மூலத்திற்கு நேரடிக் கோரிக்கையும் தற்காலிகச் சேமிப்பில் உள்ள பதிலின் கோரிக்கையும் சேர்க்கவும், ஏனெனில் அந்த இரண்டுமே முன்பகுதியை முழுமையாகத் தவிர்க்கின்றன.

curl -sI https://admin.example.com/export.csv
curl -s -H 'X-Forwarded-For: 198.51.100.27' https://origin.example.com/admin
curl -s https://admin.example.com/api/me -o /dev/null -w '%{http_code}\n'

ஒவ்வொரு கோரிக்கையும் கொள்கை உறுதியளிக்கும் நிலையைத் திருப்பித் தர வேண்டும், மேலும் எந்த முகவரிச் சான்று பயன்படுத்தப்பட்டது என்பதைப் பதிவு பதிவு செய்ய வேண்டும். IPv6-ஐ தனியாக உள்ளடக்குங்கள், ஏனெனில் இரட்டை அடுக்கு மூலம் நீங்கள் சோதித்ததை விட வேறுபட்ட மூலக் குடும்பத்தைக் காணக்கூடும். சாதாரண வாடிக்கையாளர் செயல்பாடுகளை VPN-க்கு வெளியே இயங்க விடுங்கள், இல்லையெனில் வாடிக்கையாளர் முதல் முறை புகார் செய்யும்போது மாற்றம் திரும்பப் பெறப்படும். ஒவ்வொரு வரிசையின் எதிர்பார்க்கப்பட்ட முடிவையும் இயக்குவதற்கு முன் எழுதுங்கள், எதிர்பாராத வெற்றி தெரியும் வகையில்.

வெளியேறு முகவரி அனுமதிக்கப்பட்ட வலையமைப்புப் பாதையை நிரூபிக்கிறது, ஒரு நபரையோ நிர்வகிக்கப்பட்ட சாதனத்தையோ அல்ல. அதை அங்கீகாரம் மற்றும் அனுமதிக்கு அருகில் ஒரு நிபந்தனையாக வைத்திருங்கள், முழு தயாரிப்பையும் VPN-மட்டும் சேவையாக மாற்றாமல் நிர்வாகப் பகுதி குறுகியதாகவே இருக்கும். அந்தப் பிரிப்பே வடிவமைப்பு, அதன் வரம்பு அல்ல.