Production solo se abre desde las redes que permites
Restringe un entorno por red y el servidor entregará su contenido solo a las direcciones de tus listas permitidas. La restricción se aplica a personas, máquinas y tokens de servicio, incluidos los propietarios y los administradores.
- Rangos IPv4 e IPv6
- Políticas firmadas, relajación con demora
- Acceso de emergencia para propietarios
Listas de redes y políticas de los entornos
Las listas de redes son listas firmadas de rangos de direcciones, como Office y VPN. Una política de red del entorno indica quién recibe el contenido y desde dónde, y para guardarla hace falta la firma de un propietario o un administrador.
- Personas, máquinas, tokensDefine rangos distintos para las personas y para las máquinas, y desactiva los enlaces de acceso mientras la restricción esté activa.
- Las escrituras también se limitanLas versiones nuevas solo se aceptan desde redes permitidas.
- CI solo con OIDCUna política puede exigir que los tokens de servicio tengan una vinculación con la CI.
Endurece ya, relaja con demora
Endurecer una política tiene efecto inmediato. Relajarla requiere esperar 15 minutos, con una alerta a los propietarios y un botón «Cancel relaxation», salvo que un segundo administrador también la firme.
| Cambio | Tiene efecto |
|---|---|
| Endurecer una política | De inmediato |
| Relajar una política | A los 15 minutos, con una alerta a los propietarios y un botón «Cancel relaxation» |
| Relajar al instante | Solo con una segunda firma de otro administrador |
Los clientes recuerdan la última política que aceptaron y no aceptan una más antigua.
Para cuando la regla estorba
Los servidores cambian de dirección y los propietarios viajan. Las excepciones vienen integradas, tienen límite de tiempo y no pasan desapercibidas.
- Pases de máquinaCuando cambia la dirección externa de una máquina, un pase mantiene la entrega de contenido a la nueva dirección durante un tiempo, 24 horas por defecto.
- Acceso de emergencia (break-glass)Un propietario puede saltarse la política durante un máximo de 60 minutos, con un motivo por escrito y una alerta.
- Los rechazos se venTodos los rechazos aparecen en la pestaña Denials. Un rechazo a una máquina o a un token genera una alerta crítica; a una persona, un aviso.
- El agente sabe por quéUna máquina rechazada por la política de red sale con el código 7, así que los scripts pueden distinguirlo de otros fallos.
Una regla del servidor, no una capa de cifrado
Tus valores están cifrados en cualquier caso. La restricción decide a quién entrega el servidor los datos cifrados.
- La aplica el servidorUn servidor que ha caído en otras manos no la respetará. Las firmas solo hacen visible una política sustituida a los clientes que ya vieron una más reciente.
- La dirección que ve el servidorTodos los que están detrás del mismo NAT o proxy comparten una dirección. Detrás de un proxy, configura TRUST_PROXY para que el servidor lea la real.
- Lo entregado, entregado quedaEl contenido recibido antes de la restricción se queda en los dispositivos y en la memoria de los agentes.
- Un pase es una ventanaUna clave de máquina robada junto con un pase activo puede obtener contenido hasta que termine el pase.
Respuestas a preguntas frecuentes
¿Algo más? Escríbenos a support@crunu.com
¿La restricción se aplica a propietarios y administradores?
Sí. Se aplica por igual a personas, máquinas y tokens de servicio. Cuando lo necesitan, los propietarios tienen un acceso de emergencia (break-glass) de hasta 60 minutos, con un motivo y una alerta.
¿Y si alguien relaja la política con una sesión robada?
Cambiar una política requiere la firma de la clave de un propietario o un administrador, y un token de sesión robado no puede producirla por sí solo. Incluso una relajación firmada espera 15 minutos y avisa a los propietarios, que pueden cancelarla.
La IP de nuestro servidor cambió de un día para otro. ¿Dejará de funcionar?
No de inmediato. Un pase de máquina mantiene la entrega de contenido a la nueva dirección durante 24 horas por defecto y genera una alerta.
¿Es lo mismo que cifrar según la ubicación?
No. Es una regla que aplica el servidor además del cifrado. Tus valores están cifrados en cualquier caso; la restricción decide a quién entrega el servidor los datos cifrados.
¿Admite IPv6?
Sí. Las listas de redes aceptan rangos IPv4 e IPv6.
Mantén production dentro de tus redes
Crea una lista de redes para tu oficina y tu VPN, y después restringe un entorno.