La production ne s’ouvre que depuis les réseaux que vous autorisez
Restreignez un environnement par réseau : le serveur n’en sert le contenu qu’aux adresses de vos listes autorisées. La restriction s’applique aux personnes, aux machines et aux jetons de service, propriétaires et administrateurs compris.
- Plages IPv4 et IPv6
- Politiques signées, assouplissement différé
- Accès d’urgence (break-glass) pour les propriétaires
Listes de réseaux et politiques d’environnement
Les listes de réseaux sont des listes signées de plages d’adresses, comme Office et VPN. La politique réseau d’un environnement indique qui en reçoit le contenu et depuis où ; pour l’enregistrer, il faut la signature d’un propriétaire ou d’un administrateur.
- Personnes, machines, jetonsDéfinissez des plages distinctes pour les personnes et pour les machines, et désactivez les liens de partage tant que la restriction est active.
- Les écritures aussi sont limitéesLes nouvelles versions ne sont acceptées que depuis les réseaux autorisés.
- La CI avec OIDC uniquementUne politique peut exiger que les jetons de service aient une liaison CI.
Durcir tout de suite, assouplir avec un délai
Le durcissement d’une politique prend effet immédiatement. Son assouplissement attend 15 minutes, avec une alerte aux propriétaires et un bouton « Cancel relaxation », sauf si un second administrateur le signe aussi.
| Modification | Prise d’effet |
|---|---|
| Durcir une politique | Immédiatement |
| Assouplir une politique | Après 15 minutes, avec une alerte aux propriétaires et un bouton « Cancel relaxation » |
| Assouplir tout de suite | Seulement avec la seconde signature d’un autre administrateur |
Les clients retiennent la dernière politique qu’ils ont acceptée et n’en acceptent pas de plus ancienne.
Pour les moments où la règle gêne
Les serveurs changent d’adresse et les propriétaires voyagent. Les exceptions sont intégrées, limitées dans le temps et ne passent pas inaperçues.
- Laissez-passer de machineQuand l’adresse externe d’une machine change, un laissez-passer lui permet de continuer à recevoir le contenu depuis la nouvelle adresse pendant un temps, 24 heures par défaut.
- Accès d’urgenceUn propriétaire peut passer outre la politique pendant 60 minutes au plus, avec un motif écrit et une alerte.
- Les refus sont visiblesTous les refus apparaissent dans l’onglet « Denials ». Un refus opposé à une machine ou à un jeton déclenche une alerte critique ; à une personne, un avertissement.
- L’agent sait pourquoiUne machine refusée par la politique réseau s’arrête avec le code 7 : les scripts peuvent ainsi distinguer ce cas des autres échecs.
Une règle sur le serveur, pas une couche de chiffrement
Vos valeurs sont chiffrées dans tous les cas. La restriction décide à qui le serveur sert les données chiffrées.
- Appliquée par le serveurUn serveur compromis ne la respectera pas. Les signatures permettent seulement aux clients qui ont vu une politique plus récente de repérer une politique substituée.
- L’adresse que voit le serveurTous ceux qui sont derrière le même NAT ou le même proxy partagent une seule adresse. Derrière un proxy, définissez TRUST_PROXY pour que le serveur lise la vraie.
- Ce qui est remis reste remisLe contenu reçu avant la restriction reste sur les appareils et dans la mémoire des agents.
- Un laissez-passer ouvre une fenêtreUne clé de machine volée alors qu’un laissez-passer est actif peut récupérer le contenu jusqu’à la fin du laissez-passer.
Réponses aux questions fréquentes
Une autre question ? Écrivez à support@crunu.com
La restriction s’applique-t-elle aux propriétaires et aux administrateurs ?
Oui. Elle couvre aussi bien les personnes que les machines et les jetons de service. En cas de besoin, les propriétaires disposent d’un accès d’urgence de 60 minutes au plus, avec un motif et une alerte.
Et si quelqu’un assouplit la politique avec une session volée ?
Modifier une politique exige une signature de la clé d’un propriétaire ou d’un administrateur, et un jeton de session volé ne peut pas, à lui seul, en produire une. Même un assouplissement signé attend 15 minutes et alerte les propriétaires, qui peuvent l’annuler.
L’IP de notre serveur a changé pendant la nuit. Va-t-il cesser de fonctionner ?
Pas tout de suite. Un laissez-passer de machine lui permet de continuer à recevoir le contenu depuis la nouvelle adresse pendant 24 heures par défaut, et déclenche une alerte.
Est-ce la même chose qu’un chiffrement selon l’emplacement ?
Non. C’est une règle que le serveur applique en plus du chiffrement. Vos valeurs sont chiffrées dans tous les cas ; la restriction décide à qui le serveur sert les données chiffrées.
IPv6 est-il pris en charge ?
Oui. Les listes de réseaux acceptent des plages IPv4 et IPv6.
Gardez la production dans vos réseaux
Créez une liste de réseaux pour votre bureau et votre VPN, puis restreignez un environnement.