URL kan fún Ọ́fíìsì àti VPN? Kí ni ìdí tí ìtàn àtẹ́wọ́gbà kò fi ṣiṣẹ́

So ẹ̀rọ ìnà náà pọ̀, ṣí àmì ojú-ìwé kanna, ojú-ìwé tí a gbà sí sì dáhùn gan-an gẹ́gẹ́ bí ó ti dáhùn láti ọ́fíìsì. Èyí ni àbá tí ẹ̀wọ̀n àwọn ètò ìwọlé jíjìnnà pọ̀ jù ń gbára lé ní ìdákẹ́jẹ́, ó sì ń ṣiṣẹ́ nígbà tí ohun mẹ́ta ọ̀tọ̀ọ̀tọ̀ bá wà ní òtítọ́ lásìkò kan náà. Kò sí ọ̀kan nínú wọn tí ó jẹ́ ànímọ́ ẹ̀rọ VPN, kò sì sí àkọsílẹ̀ DNS kankan tí ó lè pèsè ọ̀kan nínú wọn. Nígbà tí àmì ojú-ìwé bá kùnà ní ilé, aṣàwákiri fún ọ ní àṣìṣe kan ṣoṣo, bóyá ìdí ni ọ̀nà tí ó sọnù, àdírẹ́sì àbájáde tí a kò gbà, tàbí proxy tí ó rọ́pò orísun tí ó ń ròyìn. Kí a wo àwọn mẹ́ta yẹn gẹ́gẹ́ bí ìṣòro kan ṣoṣo ni ọ̀nà tí àtúnṣe ìlànà kékeré fi di ọ̀sẹ̀ kan tí a fi ń gbèrú àwọn àtẹ́wọ́gbà.

Àpẹẹrẹ tí ó dúró nígbà ìfarakanra pẹ̀lú ẹ̀wọ̀n ọ́fíìsì gidi kéré ju àbá náà lọ: tábìlì ìpinnu ìlà mẹ́ta tí ó ṣe kedere, ibi ìmúṣẹ kan tí a kò lè yẹ̀ sílẹ̀, àti ìdánwò ìkọ̀sílẹ̀ tí ó ń fi nǹkan kan hàn. Mímú àbá náà tú kọ́ ni ó kọ́kọ́ wá, nítorí gbogbo nǹkan tí ó tẹ̀lé wa ní ìgbẹ́kẹ̀lé mímọ ipele tí ó ń ṣàfihàn orísun lọ́nà tí kò tọ̀nà.

Ìtàn: ìsopọ̀ kì í ṣe ìtọ́sọ́nà ọ̀nà

A ń dá ẹ̀rọ ìnà kan dúró, ẹ̀rọ náà sì ń fi àwọn ọ̀nà sílẹ̀ fún àkójọ àwọn àfọ́mọ̀ kan. Ìsopọ̀ kì í ṣe ju èyí lọ. Bóyá ìbéèrè HTTPS tí kò ní í ṣe pẹ̀lú ń gba ẹ̀rọ ìnà kọjá, àti àdírẹ́sì gbogbogbo wo ni ó dàbí pé ó ti wá nígbà tí ó dé, jẹ́ àwọn ìpinnu tí àwọn ẹ̀yà mìíràn ń ṣe lẹ́yìn náà: tábìlì ọ̀nà ń yan ọ̀nà, àbájáde sì ń yan orísun.

Ìdí ni yìí tí ọ́fíìsì àti tábìlì ìdáná fi yàtọ̀ pẹ̀lú kọ̀mpútà kan náà, profáìlì aṣàwákiri kan náà àti àmì ojú-ìwé kan náà. Ní ọ́fíìsì ìbéèrè ń jáde nípasẹ̀ àdírẹ́sì gbogbogbo tí a ń tọ́jú tí olùdarí ojú-ìwé ti gbà. Nípasẹ̀ ẹ̀rọ ìnà kíkún ó lè jáde nípasẹ̀ àbájáde VPN, èyí tí ó jẹ́ àdírẹ́sì mìíràn àti, títí ẹnìkan yóò fi kún un, èyí tí a kò gbà. Nípasẹ̀ ẹ̀rọ ìnà pínpín ó lè má wọ inú ẹ̀rọ ìnà náà rárá. Ọ̀nà méjì nínú mẹ́ta yẹn ni ó ti jẹ́ apá kan àdéhùn pẹ̀lú ẹni tí ó ni ojú-ìwé, ẹ̀kẹta kì í sì ṣe àbùkù tí a ó fi ìlà allow àfikún tọ́jú.

Ipò ìbéèrè mẹ́ta, àbájáde tí a gbà méjì

Kọ matrix náà kí o tó fi ọwọ́ kan firewall, nítorí tábìlì náà ni àpẹẹrẹ, ìlànà sì jẹ́ ìmúṣẹ kan ṣoṣo rẹ̀. Àwọn àdírẹ́sì tí ó wà nísàlẹ̀ jẹ́ ìwọ̀n àkọsílẹ̀; fi àwọn iye tí ìwọ fúnra rẹ ń tọ́jú rọ́pò wọn kí o sì pa wọ́n mọ́ níbi tí ẹni tí ó ni ojú-ìwé lè yẹ̀wò wọn.

Ìlà àárín gan-an ni ibi tí ọ̀pọ̀ jù nínú àwọn ètò wọ̀nyí ti já. Ohun tí ó ṣe pàtàkì ni àdírẹ́sì tí ẹ̀rọ ìmúṣẹ ń rí, kì í ṣe àdírẹ́sì àdáni tí kọ̀mpútà ń pa mọ́ nínú ẹ̀rọ ìnà àti kì í ṣe àdírẹ́sì LAN rẹ̀. Iye bíi 10.8.0.6 kò ní ìtumọ̀ kankan fún ojú-ìwé gbogbogbo, 192.168.1.44 pẹ̀lú kò ní. Àdírẹ́sì ẹ̀rọ ìnà jẹ́ àlàyé àdírẹ́sì ẹ̀rọ ìnà, kì í ṣe ẹ̀rí tí ojú-ìwé lè yẹ̀wò.

Tí VPN rẹ kò bá lè pèsè àbájáde tí ó dúró ṣinṣin tí a kọ sílẹ̀, matrix kò ní ìlà àárín tí ó tọ́, kò sì sí iye àwọn àtẹ́wọ́gbà tí yóò dá ọ̀kan. Àwọn àyànfẹ́ olóòtítọ́ ní àkókò yẹn ni ojú-ìwé àdáni tí a ń dé nípasẹ̀ àwọn ọ̀nà àdáni tí ó ṣe kedere, tàbí ẹnubodè ìwọlé tí ó mọ ìdánimọ̀ níwájú ètò náà. Àwọn méjèèjì ní àdéhùn tí ó yàtọ̀ sí àtẹ́wọ́gbà gbogbogbo, àwọn méjèèjì sì rọ̀rùn láti ṣàlàyé fún olùyẹ̀wò ju àtẹ́wọ́gbà tí ó dàgbà títí tí ó fi ṣiṣẹ́ lójijì.

Ka orísun níbi tí a ti ń ṣe ìpinnu

Fi ìdíwọ́ sílẹ̀ lórí ẹ̀rọ tí ó parí ìbéèrè náà, kí o sì jẹ́rìí pé kò sí ọ̀nà orísun mìíràn tí ó ń yẹ̀ sílẹ̀. mọ́dúlù ìwọlé Nginx ń ṣàyẹ̀wò àwọn ìtọ́ni allow àti deny ní ọ̀nà, ìbámu àkọ́kọ́ ni ó ń borí, àwọn ìlànà tí a jogún láti inú blọ́ọ̀kù tí ó yí i ká sì ṣì wà ní ipa nínú location. allow tóóró lẹ́gbẹ̀ẹ́ allow gbòòrò ní ibi kan náà sábà túmọ̀ sí pé èyí gbòòrò ni ó ń pinnu. Ka gbogbo ìṣètò tí ó wà ní ipa fún location yẹn kí o tó ṣàtúnṣe ìlà kan pàápàá.

server {
    listen 443 ssl;
    server_name intranet.example.com;

    set_real_ip_from 10.20.0.10;
    real_ip_header X-Forwarded-For;
    real_ip_recursive on;

    location /app/ {
        allow 203.0.113.24;    # office public exit
        allow 198.51.100.77;   # approved VPN egress
        deny  all;
        proxy_pass http://app_backend;
    }
}

Lẹ́yìn olùdọ́gba ẹrù tàbí proxy yí padà, ìlànà yẹn ń rí proxy àyàfi tí o bá sọ ohun mìíràn fún un. Mú àdírẹ́sì olùpè padà nípasẹ̀ ẹ̀rọ proxy tí a gbẹ́kọ̀ọ́ lé tí a ṣàtìlẹ́yìn nìkan, pẹ̀lú àkójọ àdírẹ́sì proxy tí ó ṣe kedere. Àkọlé ìbéèrè tí ó sọ pé àdírẹ́sì tí a gbà ni kì í ṣe ẹ̀rí pé olùpè ni ó ni í, àti lórí olùgbọ́ gbogbogbo àkọlé tí a kò ti yẹ̀wò ń sọ àtẹ́wọ́gbà di ọ̀ṣọ́.

Lẹ́yìn náà ṣàyẹ̀wò ìdílé àdírẹ́sì mìíràn. Àkójọ ìlànà tí ó bo IPv4 nìkan jẹ́ ìpinnu tí kò pé fún orúkọ olùgbani tí ó tún ń dáhùn lórí AAAA, ẹ̀rọ tí ó ní IPv6 tí ń ṣiṣẹ́ yóò sì dé ètò kan náà nípasẹ̀ ọ̀nà tí ìwọ kò tíì yẹ̀wò rí.

Ẹ̀rọ ìnà pínpín: ìbéèrè tí kò wọ inú rárá

Ẹ̀rọ ìnà pínpín ń gbé àwọn àfọ́mọ̀ tí ó wà nínú àkójọ rẹ̀ nìkan. Àwọn ẹ̀wọ̀n abẹ́lé ọ́fíìsì sábà máa ń wọ inú àkójọ yẹn; ojú-ìwé gbogbogbo kò wọ. Aṣàwákiri ń yanjú orúkọ náà, ó fi àdírẹ́sì tí a yàn wé tábìlì ọ̀nà, ó sì tún rí ẹnubodè àkọ́kọ́ àdúgbò níwájú rẹ̀.

Nítorí náà ìbéèrè ń wá láti ìsopọ̀ ilé olùlò, a ń kọ̀ ọ́, ìròyìn sì ń sọ pé VPN ti bàjẹ́ nígbà tí ẹ̀rọ ìnà ń ṣe gan-an ohun tí a ṣètò rẹ̀ fún. Àtúnṣe méjì ni ó tọ́: darí ibi-àbájáde yẹn nípasẹ̀ ẹ̀rọ ìnà kí o sì jẹ́ kí àbájáde tí a gbà gbé e, tàbí gbà pé a ń dé ojú-ìwé náà tààrà kí o sì fún àwọn olùlò jíjìnnà ní ọ̀nà mìíràn tí a gbà bíi ẹnubodè ìwọlé. Mímú àtẹ́wọ́gbà gbogbogbo ojú-ìwé gbèrú títí àdírẹ́sì ilé yóò fi kún un lójijì kì í ṣe ọ̀kan nínú àwọn méjèèjì, ó sì ń mú ààlà tí àpẹẹrẹ yẹ kí ó mú kúrò. Àwọn méjì àkọ́kọ́ ń pa matrix mọ́ ní olóòtítọ́; ẹ̀kẹta ń pa ìlà kan nínú rẹ̀ rẹ́ ní ìdákẹ́jẹ́.

Fi ìkọ̀sílẹ̀ hàn, lẹ́yìn náà ìgbapadà

Dánwò pẹ̀lú ìbéèrè tí ó ń lo ìpinnu gidi, láti ọ̀dọ̀ ẹ̀rọ tí ó dúró lórí gbogbo ìlà tábìlì. Ṣíṣàyẹ̀wò ìdé ojú-ìwé àìníbákan tí ó ń fi àdírẹ́sì hàn kò fi nǹkan hàn, nítorí ibi-àbájáde yẹn lè gba ọ̀nà tí ó yàtọ̀ sí ti ètò náà.

curl -sS -o /dev/null -w 'status=%{http_code}
' https://intranet.example.com/app/login
# repeat with the tunnel up, then with it down
tail -f /var/log/nginx/access.log | grep ' /app/'

Fi àkọsílẹ̀ ìwọlé ní ààlà wé ohun tí tábìlì sọ tẹ́lẹ̀, lẹ́yìn náà sọ ẹ̀rọ ìnà kalẹ̀ kí o sì ṣe ìbéèrè tuntun tí ó yẹ kí a kọ̀. Ojú-ìwé tí a ti gbé wọlé tẹ́lẹ̀ tàbí ìsopọ̀ tí ó ti ṣí tẹ́lẹ̀ kò dánwò nǹkan rárá. Tí ìkọ̀sílẹ̀ kò bá farahàn, ibi ìmúṣẹ kò sí níbi tí ìwọ rò.

Pa ìjẹ́rìí ètò mọ́ lẹ́yìn ìgbà tí a gbà wọ inú ẹ̀wọ̀n, nítorí àbájáde ọ́fíìsì àti àbájáde VPN kọ̀ọ̀kan ń dúró fún ọ̀pọ̀ ènìyàn, kò sì sí ọ̀kan tí ń dámọ̀ ẹnìkan. Ìtọ́ni fún àwọn olùlò ń jẹ́ kúkúrú: gbé ẹ̀rọ ìnà tí a gbà sókè, lẹ́yìn náà gbìyànjú lẹ́ẹ̀kan sí i. Èyí ni ó ń pa URL kan mọ́ ní ìrọ̀rùn nígbà tí ìlànà orísun ń wà ní ìpinnu kì í ṣe àròsọ.