Vaqtinchalik IP ruxsat ro'yxati havolalari: ruxsat aslida nimani qabul qiladi

Bitta bosishni vaqtinchalik fayervol qoidasiga aylantirish qulay, shu bilan birga kim xizmatga yetib borishi mumkinligini hal qiladigan ruxsat tizimini quradi. U odamni emas, manzilni beradi va bu farq ikki kishi bitta NAT ni bo'lishgan paytdan boshlab muhim. Ruxsat qamrovini cheklang, uni ongli ravishda tasdiqlang va havola qurilishidan oldin muddat tugashiga ma'no bering. Oldingizdagi qaror chegara qayerda bo'lishi, chegara umuman bo'lishi kerakmi degani emas.

Ruxsat qaysi savolga javob berishini hal qiling

Talabdan boshlang. Agar nomlangan shaxs xizmatga yetib borishi kerak bo'lsa va dastur o'sha shaxsni allaqachon autentifikatsiya qilsa, autentifikatsiyalangan shlyuz identifikatsiyani ijro nuqtasida saqlaydi va manzilni qabul qilish umuman kerak emas. Agar maqsad build agenti, ma'muriy sakrash porti yoki foydalanuvchi kirishida qatnasha olmaydigan qurilma bo'lsa, qamrovi cheklangan manzil ruxsati yagona amaliy nazorat bo'lishi mumkin.

Foydalanuvchiga qaragan dastur uchun manzil bo'yicha qabul qilishni tanlash haqiqiy avtorizatsiya muammosini boshqa joyga ko'chiradi va keyin portal hech qachon yopmagan bo'shliq uchun aybni meros oladi.

So'rovni serverda cheklang

Brauzer manzilni, portni yoki prefiksni tanlamasligi kerak. Portal xizmatni o'z yozuvlaridan aniqlaydi va huquqni server tomonidagi sinov bilan tekshiradi, bu esa OWASP ning avtorizatsiya bo'yicha qo'llanmasi har bir so'rovga qo'llaydigan bir xil tamoyildir. Manzilni chiqarish ham himoyalangan chegaraga tegishli: teskari proksi mijoz manzilini bildirganda faqat sozlangan proksi zanjirini va uning hujjatlashtirilgan sarlavha ishlovini qabul qiling. Mehmon taqdim etgan yo'naltirish sarlavhasi kelib chiqishi haqidagi da'vo, uning isboti emas.

Keyin portal va xizmat bir xil manbani ko'rishini tekshiring. Bo'lingan tunnel, bitta proksi sakrashi va IPv4 bilan IPv6 ikki manzilga ikki xil manzil berishi mumkin, shuning uchun bir yo'ldan faollashtirilgan ruxsat keyingi so'rovni qamrab olmasligi mumkin.

O'rnatishdan oldin ruxsatni ko'rsating

Havolani ochish taklif qilingan xizmatni, kuzatilgan manbani va davomiylikni ko'rsatishi va hali hech narsani o'zgartirmasligi kerak. Aynan shu bir qadam elektron pochtadan kelgan havolani harakatdan taklifga aylantiradi va ko'rib chiqish boti yoki pochta skaneri uni shunchaki yuklab olish orqali kirish berishini to'xtatadi.

Tasdiqlash odatdagi saytlararo va kelib chiqish himoyalari bilan holatni o'zgartiradigan so'rov bo'lishi kerak. Token bir martalik bo'lishi va qoida o'rnatilayotgan paytda atomar sarflanishi kerak, yozuv esa egasi, xizmat, manzil, ruxsat identifikatori va muddat tugashini hech qachon xom tokenni jurnalga yozmasdan qayd etishi kerak.

Tokenni yetkazish qoidaning o'zi kabi ehtiyotkorlikka loyiq. Muddati o'tgan yoki allaqachon sarflangan havola hali ham qoida yaratsa, u o'sha kalit bilan o'rnatilgan ikkinchi eshikdir.

Ruxsat amalda bo'lganda ham manzil umumiy

Ofis NAT, operator NAT va umumiy VPN chiqishi har biri bir necha kishini bitta manzil orqasiga qo'yadi. O'sha manzilni qabul qilish uning orqasidagi barchani qabul qilishdir — xizmatning keyingi chegarasiga kelsak —, shu bilan birga xizmat kutayotgan hisob kimda ekanligi haqida hech narsani isbotlamaydi.

Qoidani olib tashlash ham universal uzilish emas. O'rnatilgan ulanishlar, keshlangan dastur tokenlari va uzoq umrli sessiyalar qoidadan daqiqalar yoki ancha uzoq yashashi mumkin, shuning uchun tanlagan umringiz qoida qancha mavjudligini emas, xizmat qabuldan keyin nima qilishini aks ettirishi kerak.

To'rt holatni va ikkala manzil oilasini sinab ko'ring

Ruxsat qancha holatga dosh bersa, shuncha yaxshi: yangi ruxsat berilgan so'rov, tasdiqlanmagan so'rovchi, o'sha havolaning takrorlanishi va muddat tugagandan keyingi o'sha so'rov.

Keyin har bir oilani alohida sinab ko'ring, chunki xizmat kuzatadigan manba manzili ular orasida farq qilishi mumkin.

dig +short A service.example.com
dig +short AAAA service.example.com
curl -4 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com
curl -6 -sS -o /dev/null -w "%{http_code}\n" https://service.example.com

Foydali natija oddiy foydalanuvchi avtorizatsiyasi ostidagi vaqtinchalik, audit qilinadigan qabul qarori, birinchi bosgan kishining ismini olib yuruvchi doimiy ochilish emas.