ปิดตัวอย่างชั่วคราวก่อนที่มันจะกลายเป็นถาวร

ผู้ตรวจทานที่ไม่สามารถเชื่อมต่อ VPN ได้ต้องการลิงก์สำหรับบ่ายวันหนึ่ง และพอถึงเย็น บริการโปรดักชันก็มีชื่อโฮสต์สาธารณะที่ไม่มีใครจำได้ว่าเคยอนุมัติ คำขอเล็ก แต่การเปลี่ยนแปลงไม่เล็ก ตัวอย่างชั่วคราวคือเส้นทางเข้าถึงใหม่ที่มีผู้ชม ขอบเขตข้อมูล และเวลาสิ้นสุด ปฏิบัติต่อมันเหมือนทางเข้าอื่น ๆ เพราะคำว่าชั่วคราวไม่ได้ปิดอะไรเลย

ชั่วคราวคือระยะเวลา ไม่ใช่การควบคุม

คำว่าชั่วคราวอธิบายว่าสิ่งหนึ่งควรมีอยู่นานเท่าใด ไม่ใช่อะไรที่จำกัดมันขณะที่มันมีอยู่ ชื่อโฮสต์สาธารณะที่ไม่มีวันหมดอายุจะกลายเป็นถาวรในวินาทีที่คนที่สร้างมันขึ้นมาเปลี่ยนทีม

ก่อนที่จะเปิดเผยอะไร เจ้าของบริการและเจ้าของความปลอดภัยควรอนุมัติสามสิ่ง ผู้ชม ข้อมูล และระยะเวลา

สภาพแวดล้อมสำหรับแขก VPN หรือสำหรับการตรวจทานที่มีอยู่มักง่ายกว่าการเผยแพร่บริการโปรดักชัน มันมีเจ้าของ เส้นทางอนุมัติ และกระบวนการถอดถอนอยู่แล้ว การสร้างข้อยกเว้นใหม่สำหรับบ่ายวันหนึ่งคือวิธีที่คำขอเล็ก ๆ กลายเป็นสินทรัพย์ถาวร เริ่มด้วยการถามว่าการตรวจทานเกิดขึ้นภายในสิ่งที่มีอยู่แล้วได้หรือไม่

เผยแพร่เพียงหนึ่งการดำเนินการ ไม่เคยเป็นซับเน็ต

เลือกทางเข้าที่เล็กที่สุดที่ยังรองรับการตรวจทาน ใช้สำเนาทดสอบที่มีข้อมูลเหมาะสมแทนโปรดักชัน และส่วนหน้าที่ผ่านการยืนยันตัวตนที่เข้าถึงต้นทางส่วนตัวหนึ่งแห่งแทนเส้นทางซับเน็ตใด ๆ

รีเลย์ที่มีการเข้าถึง VPN ไม่จำเป็นต้องเผยแพร่ซับเน็ตส่วนตัวทั้งหมด และไม่ควรเผยแพร่อินเทอร์เฟซผู้ดูแลของเกตเวย์อย่างแน่นอน

ระบุบัญชีที่ได้รับอนุญาตให้ผ่านและสิ่งที่บัญชีเหล่านั้นทำได้ การจำกัดด้วย IP ต้นทางช่วยจำกัดว่าใครเชื่อมต่อได้จริง แต่ไม่ได้ระบุตัวบุคคล เพราะที่อยู่สาธารณะถูกใช้ร่วมกันและเปลี่ยนแปลง

รักษาการอนุญาตของแอปพลิเคชันเองหรือทางเข้าที่เชื่อถือได้อย่างชัดเจนและรับรู้ตัวตน ปกป้องการดาวน์โหลด API และเส้นทางผู้ดูแล ไม่ใช่เพียงหน้าแรก ส่วนหน้าที่สิ้นสุด TLS กลายเป็นจุดปลายทางที่เชื่อถือได้ และเส้นทางส่วนตัวที่อยู่ข้างหลังไม่ได้ทำให้ผู้เยี่ยมชมสาธารณะกลายเป็นสมาชิก VPN ทดสอบเส้นทางที่ยกเว้นอย่างระมัดระวังเท่ากับหน้าแรก

ตัวตนอยู่ที่ส่วนหน้า ไม่ใช่ที่อยู่ต้นทาง

กฎ IP ต้นทางมีประโยชน์ในการจำกัดการเปิดเผยและไร้ประโยชน์ในการพิสูจน์ว่าผู้ตรวจทานคือใคร การเชื่อมต่อที่บ้านเปลี่ยน เครือข่ายมือถือใช้ที่อยู่ร่วมกัน และเพื่อนร่วมงานอาจอยู่หลัง NAT เดียวกัน

พร็อกซี่ที่รับรู้ตัวตนหรือการเข้าสู่ระบบของแอปพลิเคชันเองให้การตัดสินใจรายบุคคล นั่นคือสิ่งที่ทำให้การเพิกถอนเป็นไปได้ในภายหลัง เพราะคุณสามารถลบตัวตนหนึ่งโดยไม่ต้องเปลี่ยนเครือข่าย

เปิดการตรวจสอบใบรับรองไว้และบล็อกการเข้าถึงต้นทางโดยตรง หากต้นทางยังเข้าถึงได้จากอินเทอร์เน็ต ส่วนหน้าก็เป็นเพียงการตกแต่ง

เพิกถอนสิทธิ์และเส้นทาง

บันทึกเจ้าของและวันหมดอายุที่แน่นอนในระบบปฏิบัติการที่ติดตามการเข้าถึงอยู่แล้ว ใช้การเข้าถึงแบบจำกัดเวลาหรือการถอดถอนตามกำหนดในที่ที่แพลตฟอร์มรองรับ และเพิ่มการตรวจสอบในกรณีที่ระบบอัตโนมัติล้มเหลว

เมื่อถึงเวลาสิ้นสุดที่ตกลงกัน ให้ปลดระวางส่วนหน้าชั่วคราว การอนุญาตเส้นทาง และสิทธิ์ของผู้ตรวจทานผ่านเจ้าของของสิ่งเหล่านั้น เซสชันที่มีอยู่และการเชื่อมต่อระยะยาวต้องได้รับการดูแลของตัวเอง เพราะเส้นทางที่ถูกถอดไม่ได้ยุติสิ่งเหล่านั้น

DNS TTL ที่สั้นไม่ใช่การหมดอายุของการเข้าถึง มันเปลี่ยนระยะเวลาที่ตัวแก้ชื่อเก็บคำตอบไว้ ไม่ได้ปิดใช้งานบัญชี ไม่ตัดเซสชันที่กำลังทำงาน และไม่ปิดพอร์ตที่ยังรับฟังอยู่

สำเนาที่แคชไว้เป็นส่วนหนึ่งของปัญหาเดียวกัน การเอาทางต้นทางลงไม่ได้ดึงไฟล์ที่ใครบางคนบันทึกไว้แล้วกลับคืน และแคชที่ใช้ร่วมกันอาจให้บริการสำเนาหลังจากรีเลย์หายไป เลือกนโยบายการตอบสนองและการจัดเก็บก่อนที่การตรวจทานจะเริ่ม

ตรวจสอบว่าเส้นทางเก่าหายไปจริง

การยอมรับคือคำขอใหม่ที่ล้มเหลว บวกกับ ขั้นตอนการทำงาน VPN ปกติ ที่ยังใช้งานได้ ทดสอบทั้งสองอย่าง เพราะการถอดถอนที่ทำให้เส้นทางปกติเสียหายไม่ใช่การถอดถอนที่สะอาด

จากภายนอกเครือข่าย ยืนยันว่าชื่อและต้นทางปิดทั้งคู่:

dig +short review.example
curl -sSI --max-time 5 https://review.example/
ss -ltnp | grep ':443'

เก็บบันทึกการตรวจสอบที่แคบเกี่ยวกับสิ่งที่ได้รับการอนุมัติ ใครเข้าถึงได้ และเมื่อใดที่ถูกถอดออก บันทึกนั้นคือความแตกต่างระหว่างข้อยกเว้นที่ถูกควบคุมกับชื่อโฮสต์ที่อธิบายไม่ได้ ตัวอย่างชั่วคราวจะสำเร็จเมื่อให้การตรวจทานตามที่ขอแล้วหยุดให้ การที่ URL หายไปจากข้อความแชทไม่ใช่การทดสอบนั้น