Pansamantalang mga link ng listahan ng pinapayagang IP: ano talaga ang pinapayagan ng permit

Ang gawing pansamantalang tuntunin ng firewall ang isang click ay maginhawa, at kasabay nito ay nagtatayo ng sistema ng awtorisasyon na nagpapasya kung sino ang makakaabot sa isang serbisyo. Address ang inilalabas nito at hindi tao, at mahalaga ang pagkakaibang iyon sa sandaling dalawang tao ang nagbabahagi ng isang NAT. Limitahan ang saklaw ng permit, kumpirmahin ito nang sadya, at bigyan ng kahulugan ang pag-expire bago itayo ang link. Ang desisyong nasa harap mo ay kung saan ilalagay ang hangganan, hindi kung dapat bang mayroon nito.

Magpasya kung anong tanong ang sinasagot ng permit

Magsimula sa pangangailangan. Kung ang isang pinangalanang tao ay dapat makaabot sa serbisyo at ang aplikasyon ay nagpapatunay na sa taong iyon, pinapanatili ng awtentikadong gateway ang pagkakakilanlan sa punto ng pagpapatupad at hindi na kailangan ng anumang pagtanggap ng address. Kung ang target ay isang build agent, administratibong jump port o appliance na hindi makakasali sa pag-login ng user, ang permit sa address na may limitadong saklaw ang maaaring tanging praktikal na kontrol.

Ang pagpili ng pagtanggap ayon sa address para sa aplikasyong nakaharap sa mga user ay naglilipat ng tunay na problema ng awtorisasyon sa ibang lugar, at pagkatapos ay minamana ng portal ang sisi para sa puwang na hindi nito kailanman isinara.

Limitahan ang kahilingan sa server

Hindi dapat pumili ang browser ng destinasyon, port o prefix. Niresolba ng portal ang serbisyo mula sa sarili nitong mga talaan at sinusuri ang karapatan sa pamamagitan ng pagsubok sa gilid ng server, na siya ring prinsipyong inilalapat ng gabay sa awtorisasyon ng OWASP sa bawat kahilingan. Ang paghango ng address ay kabilang din sa protektadong hangganan: kapag iniulat ng reverse proxy ang address ng kliyente, tanggapin lamang ang naka-configure na chain ng proxy at ang dokumentadong paghawak nito sa mga header. Ang header ng pagpapasa na ibinigay ng bisita ay isang pag-aangkin tungkol sa pinagmulan, hindi patunay nito.

Pagkatapos ay tiyakin na ang portal at serbisyo ay nakakakita ng parehong pinagmulan. Ang split tunnelling, isang proxy hop at IPv4 kumpara sa IPv6 ay makapagbibigay sa dalawang destinasyon ng dalawang magkaibang address, kaya ang permit na na-activate sa isang landas ay maaaring hindi masakop ang susunod na kahilingan.

Ipakita ang permit bago ito i-install

Ang pagbubukas ng link ay dapat magpakita ng iminungkahing serbisyo, naobserbahang pinagmulan at tagal, at wala pang babaguhin. Ang nag-iisang hakbang na iyon ay ginagawang panukala ang link mula sa email mula sa aksyon, at pinipigilan nito ang preview bot o mail scanner na magbigay ng access sa pamamagitan lamang ng pagkuha nito.

Ang kumpirmasyon ay dapat na kahilingang nagbabago ng estado na may karaniwang pagtatanggol sa cross-site at pinagmulan. Ang token ay dapat na isang beses gamitin at mauubos nang atomiko sa sandaling ma-install ang tuntunin, at dapat na maitala ng rekord ang may-ari, serbisyo, address, identifier ng permit at pag-expire nang hindi kailanman nila-log ang raw token.

Ang paghahatid ng token ay nararapat sa gayunding pag-iingat gaya ng tuntunin mismo. Ang nag-expire o nagamit nang link na gumagawa pa rin ng tuntunin ay ikalawang pinto na nilagyan ng parehong susi.

Ibinabahagi ang address kahit habang buhay ang permit

Ang NAT ng opisina, NAT ng carrier at pinagsasaluhang labasan ng VPN ay naglalagay bawat isa ng ilang tao sa likod ng isang address. Ang pagtanggap sa address na iyon ay tumatanggap sa lahat ng nasa likod nito — hangga't tungkol sa susunod na hangganan ng serbisyo —, nang walang pinatutunayan tungkol sa kung sino ang may hawak ng account na inaasahan ng serbisyo.

Ang pagtanggal ng tuntunin ay hindi rin pangkalahatang pagputol. Ang mga naitatag na koneksyon, naka-cache na token ng aplikasyon at pangmatagalang session ay maaaring mabuhay nang lampas sa tuntunin nang ilang minuto o mas matagal pa, kaya ang buhay na pipiliin mo ay dapat sumasalamin sa ginagawa ng serbisyo pagkatapos ng pagtanggap at hindi lamang kung gaano katagal umiiral ang tuntunin.

Subukan ang apat na kaso, at ang dalawang pamilya ng address

Ang isang permit ay kasinghalaga lamang ng apat na kaso na nalalampasan nito: bagong pinapayagang kahilingan, hindi aprubadong humihiling, pag-ulit ng parehong link, at ang parehong kahilingan pagkatapos ng pag-expire.

Pagkatapos ay subukan ang bawat pamilya nang hiwalay, dahil ang address ng pinagmulang naoobserbahan ng serbisyo ay maaaring magkaiba sa pagitan nila.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

Ang kapaki-pakinabang na resulta ay isang pansamantala, naa-audit na desisyon sa pagtanggap sa ilalim ng normal na awtorisasyon ng user, hindi isang permanenteang pagbubukas na nagdadala ng pangalan ng unang nag-click.