Die Produktion öffnet sich nur aus Netzwerken, die Sie erlauben
Beschränken Sie eine Umgebung nach Netzwerk, dann liefert der Server ihren Inhalt nur an Adressen aus Ihren erlaubten Listen aus. Die Beschränkung gilt für Personen, Maschinen und Service-Tokens, auch für Owner und Admins.
- IPv4- und IPv6-Bereiche
- Signierte Richtlinien, verzögerte Lockerung
- Break-Glass-Zugriff für Owner
Netzwerklisten und Richtlinien der Umgebung
Netzwerklisten sind signierte Listen von Adressbereichen, etwa „Office“ und „VPN“. Eine Netzwerkrichtlinie der Umgebung legt fest, wer den Inhalt von wo erhält, und zum Speichern braucht sie die Signatur eines Owners oder Admins.
- Personen, Maschinen, TokensLegen Sie getrennte Bereiche für Personen und für Maschinen fest, und schalten Sie Freigabelinks ab, solange die Beschränkung gilt.
- Auch Schreibzugriffe sind begrenztNeue Versionen werden nur aus erlaubten Netzwerken angenommen.
- CI nur mit OIDCEine Richtlinie kann verlangen, dass Service-Tokens eine CI-Bindung haben.
Sofort verschärfen, verzögert lockern
Eine Verschärfung der Richtlinie wirkt sofort. Eine Lockerung greift erst nach 15 Minuten, mit einer Warnung an die Owner und der Schaltfläche „Cancel relaxation“, es sei denn, ein zweiter Admin signiert sie ebenfalls.
| Änderung | Wirkt |
|---|---|
| Richtlinie verschärfen | Sofort |
| Richtlinie lockern | Nach 15 Minuten, mit einer Warnung an die Owner und der Schaltfläche „Cancel relaxation“ |
| Sofort lockern | Nur mit einer zweiten Signatur eines anderen Admins |
Clients merken sich die neueste Richtlinie, die sie akzeptiert haben, und nehmen keine ältere an.
Für die Momente, in denen die Regel im Weg ist
Server wechseln ihre Adressen, und Owner sind unterwegs. Die Ausnahmen sind eingebaut, zeitlich begrenzt und nicht zu übersehen.
- MaschinenpässeÄndert sich die externe Adresse einer Maschine, sorgt ein Pass dafür, dass Inhalte eine Zeit lang auch an die neue Adresse fließen, standardmäßig 24 Stunden.
- Break-Glass-ZugriffEin Owner kann die Richtlinie für bis zu 60 Minuten umgehen, mit schriftlicher Begründung und einer Warnung.
- Abweisungen sind sichtbarAlle Abweisungen erscheinen im Tab „Denials“. Bei einer Maschine oder einem Token löst eine Abweisung eine kritische Warnung aus, bei einer Person eine einfache Warnung.
- Der Agent kennt den GrundEine Maschine, die von der Netzwerkrichtlinie abgewiesen wird, beendet sich mit Code 7, sodass Skripte das von anderen Fehlern unterscheiden können.
Eine Regel auf dem Server, keine Verschlüsselungsschicht
Ihre Werte sind so oder so verschlüsselt. Die Beschränkung entscheidet, wem der Server Chiffretext ausliefert.
- Vom Server durchgesetztEin übernommener Server hält sich nicht daran. Signaturen machen eine ausgetauschte Richtlinie nur für Clients sichtbar, die schon eine neuere gesehen haben.
- Die Adresse, die der Server siehtAlle hinter demselben NAT oder Proxy teilen sich eine Adresse. Hinter einem Proxy setzen Sie TRUST_PROXY, damit der Server die echte Adresse liest.
- Ausgeliefert bleibt ausgeliefertInhalte, die vor der Beschränkung empfangen wurden, bleiben auf den Geräten und im Arbeitsspeicher der Agenten.
- Ein Pass ist ein ZeitfensterEin Maschinenschlüssel, der zusammen mit einem aktiven Pass gestohlen wird, kann Inhalte abrufen, bis der Pass endet.
Häufige Fragen
Noch etwas anderes? Schreiben Sie an support@crunu.com
Gilt die Beschränkung auch für Owner und Admins?
Ja. Sie gilt gleichermaßen für Personen, Maschinen und Service-Tokens. Owner haben bei Bedarf einen Break-Glass-Zugriff für bis zu 60 Minuten, mit Begründung und Warnung.
Was, wenn jemand die Richtlinie mit einer gestohlenen Sitzung lockert?
Eine Änderung der Richtlinie braucht eine Signatur mit dem Schlüssel eines Owners oder Admins, und ein gestohlenes Sitzungstoken allein kann keine erzeugen. Selbst eine signierte Lockerung greift erst nach 15 Minuten und warnt die Owner, die sie abbrechen können.
Die IP-Adresse unseres Servers hat sich über Nacht geändert. Funktioniert er dann nicht mehr?
Nicht sofort. Ein Maschinenpass sorgt dafür, dass Inhalte standardmäßig 24 Stunden lang auch an die neue Adresse fließen, und löst eine Warnung aus.
Ist das dasselbe wie Verschlüsselung nach Standort?
Nein. Es ist eine Regel, die der Server zusätzlich zur Verschlüsselung durchsetzt. Ihre Werte sind so oder so verschlüsselt, die Beschränkung entscheidet, wem der Server Chiffretext ausliefert.
Wird IPv6 unterstützt?
Ja. Netzwerklisten nehmen IPv4- und IPv6-Bereiche auf.
Halten Sie die Produktion in Ihren Netzwerken
Legen Sie eine Netzwerkliste für Büro und VPN an und beschränken Sie dann eine Umgebung.