Production si apre solo dalle reti che consenti
Limita un ambiente per rete, e il server fornisce il suo contenuto solo agli indirizzi presenti nei tuoi elenchi consentiti. La restrizione vale per persone, macchine e token di servizio, Owner e Admin compresi.
- Intervalli IPv4 e IPv6
- Regole firmate, allentamento ritardato
- Accesso break-glass per gli Owner
Elenchi di reti e regole degli ambienti
Gli elenchi di reti sono elenchi firmati di intervalli di indirizzi, come Office e VPN. Una regola di rete dell’ambiente dice chi riceve il contenuto e da dove, e per salvarla serve la firma di un Owner o di un Admin.
- Persone, macchine, tokenImposta intervalli separati per le persone e per le macchine, e disattiva i link di condivisione finché la restrizione è attiva.
- Anche le scritture sono limitateLe nuove versioni vengono accettate solo dalle reti consentite.
- CI solo con OIDCUna regola può richiedere che i token di servizio abbiano un vincolo CI.
Restringi subito, allenta con un ritardo
Restringere una regola ha effetto immediato. Allentarla richiede un’attesa di 15 minuti, con un avviso agli Owner e un pulsante «Cancel relaxation», a meno che non la firmi anche un secondo amministratore.
| Modifica | Ha effetto |
|---|---|
| Restringere una regola | Subito |
| Allentare una regola | Dopo 15 minuti, con un avviso agli Owner e un pulsante «Cancel relaxation» |
| Allentare subito | Solo con una seconda firma di un altro amministratore |
I client ricordano l’ultima regola che hanno accettato e non ne accettano una più vecchia.
Per i momenti in cui la regola è d’intralcio
I server cambiano indirizzo e gli Owner viaggiano. Le eccezioni sono integrate, limitate nel tempo e ben visibili.
- Pass per le macchineQuando l’indirizzo esterno di una macchina cambia, un pass mantiene il flusso dei contenuti dal nuovo indirizzo per un certo tempo, 24 ore per impostazione predefinita.
- Accesso break-glassUn Owner può aggirare la regola fino a 60 minuti, indicando un motivo scritto e con un avviso.
- I rifiuti sono visibiliTutti i rifiuti compaiono nella scheda «Denials». Un rifiuto a una macchina o a un token genera un avviso critico; a una persona, un avvertimento.
- L’agente sa perchéUna macchina rifiutata dalla regola di rete esce con il codice 7, così gli script possono distinguerlo dagli altri errori.
Una regola sul server, non un livello di cifratura
I tuoi valori sono cifrati in ogni caso. La restrizione decide a chi il server fornisce il testo cifrato.
- Applicata dal serverUn server di cui qualcuno ha preso il controllo non la rispetterà. Le firme rendono visibile una regola sostituita solo ai client che ne hanno vista una più recente.
- L’indirizzo che vede il serverTutti quelli dietro lo stesso NAT o proxy condividono un indirizzo. Dietro un proxy, imposta TRUST_PROXY perché il server legga quello reale.
- Ciò che è consegnato resta consegnatoI contenuti ricevuti prima della restrizione restano sui dispositivi e nella memoria degli agenti.
- Un pass è una finestraUna chiave di macchina rubata insieme a un pass attivo può scaricare i contenuti fino alla fine del pass.
Risposte alle domande più comuni
Altre domande? Scrivi a support@crunu.com
La restrizione vale anche per Owner e Admin?
Sì. Vale per persone, macchine e token di servizio allo stesso modo. Quando serve, gli Owner hanno un accesso break-glass fino a 60 minuti, con un motivo e un avviso.
E se qualcuno allenta la regola con una sessione rubata?
Modificare una regola richiede la firma della chiave di un Owner o di un Admin, e un token di sessione rubato da solo non può produrla. Anche un allentamento firmato attende 15 minuti e avvisa gli Owner, che possono annullarlo.
L’IP del nostro server è cambiato durante la notte. Smetterà di funzionare?
Non subito. Un pass per la macchina mantiene il flusso dei contenuti dal nuovo indirizzo per 24 ore per impostazione predefinita, e genera un avviso.
È come cifrare in base alla posizione?
No. È una regola che il server applica in aggiunta alla cifratura. I tuoi valori sono cifrati in ogni caso; la restrizione decide a chi il server fornisce il testo cifrato.
Supporta IPv6?
Sì. Gli elenchi di reti accettano intervalli IPv4 e IPv6.
Tieni production all’interno delle tue reti
Crea un elenco di reti per il tuo ufficio e la VPN, poi limita un ambiente.