Production opent alleen vanaf netwerken die jij toestaat
Beperk een omgeving per netwerk, en de server levert de inhoud alleen aan adressen in je toegestane lijsten. De beperking geldt voor mensen, machines en servicetokens, ook voor eigenaren en admins.
- IPv4- en IPv6-bereiken
- Ondertekend beleid, vertraagd versoepelen
- Break-glass-toegang voor eigenaren
Netwerklijsten en beleid per omgeving
Netwerklijsten zijn ondertekende lijsten van adresbereiken, zoals Office en VPN. Het netwerkbeleid van een omgeving bepaalt wie de inhoud krijgt en vanaf waar, en opslaan vraagt een handtekening van een eigenaar of admin.
- Mensen, machines, tokensStel aparte bereiken in voor mensen en voor machines, en zet deellinks uit zolang de beperking geldt.
- Ook schrijven is beperktNieuwe versies worden alleen vanaf toegestane netwerken geaccepteerd.
- CI alleen met OIDCEen beleid kan eisen dat servicetokens een CI-binding hebben.
Direct aanscherpen, versoepelen met vertraging
Een beleid aanscherpen werkt direct. Versoepelen wacht 15 minuten, met een waarschuwing aan de eigenaren en een knop Cancel relaxation, tenzij een tweede admin ook ondertekent.
| Wijziging | Gaat in |
|---|---|
| Beleid aanscherpen | Direct |
| Beleid versoepelen | Na 15 minuten, met een waarschuwing aan de eigenaren en een knop Cancel relaxation |
| Direct versoepelen | Alleen met een tweede handtekening van een andere admin |
Clients onthouden het laatste beleid dat ze hebben geaccepteerd en nemen geen ouder beleid aan.
Voor als de regel in de weg zit
Servers krijgen een nieuw adres en eigenaren reizen. De uitzonderingen zijn ingebouwd, verlopen vanzelf en vallen op.
- MachinepassenVerandert het externe adres van een machine, dan krijgt die via een pas nog een tijd inhoud op het nieuwe adres, standaard 24 uur.
- Break-glass-toegangEen eigenaar kan het beleid tot 60 minuten omzeilen, met een schriftelijke reden en een waarschuwing.
- Weigeringen zijn zichtbaarAlle weigeringen staan op het tabblad Denials. Een weigering voor een machine of token geeft een waarschuwing met niveau Critical, voor een persoon met niveau Warning.
- De agent weet waaromEen machine die door het netwerkbeleid wordt geweigerd, stopt met exitcode 7, zodat scripts dit kunnen onderscheiden van andere fouten.
Een regel op de server, geen extra laag versleuteling
Je waarden zijn hoe dan ook versleuteld. De beperking bepaalt aan wie de server versleutelde data levert.
- Afgedwongen door de serverEen overgenomen server houdt zich er niet aan. Handtekeningen maken een verwisseld beleid alleen zichtbaar voor clients die al een nieuwer beleid hebben gezien.
- Het adres dat de server zietIedereen achter dezelfde NAT of proxy deelt één adres. Stel achter een proxy TRUST_PROXY in, zodat de server het echte adres leest.
- Geleverd is geleverdInhoud die vóór de beperking is ontvangen, blijft op apparaten en in het geheugen van agents.
- Een pas is een tijdvensterEen machinesleutel die samen met een actieve pas is gestolen, kan inhoud ophalen tot de pas afloopt.
Veelgestelde vragen
Iets anders? Mail naar support@crunu.com
Geldt de beperking ook voor eigenaren en admins?
Ja. De beperking geldt voor mensen, machines en servicetokens zonder onderscheid. Eigenaren hebben als het nodig is break-glass-toegang voor maximaal 60 minuten, met een reden en een waarschuwing.
Wat als iemand het beleid versoepelt met een gestolen sessie?
Een beleid wijzigen vraagt een handtekening met de sleutel van een eigenaar of admin, en een gestolen sessietoken alleen kan die niet zetten. Zelfs een ondertekende versoepeling wacht 15 minuten en waarschuwt de eigenaren, zodat zij die kunnen annuleren.
Het IP-adres van onze server is vannacht veranderd. Werkt hij dan niet meer?
Niet meteen. Met een machinepas krijgt de machine standaard nog 24 uur inhoud op het nieuwe adres, en er volgt een waarschuwing.
Is dit hetzelfde als versleutelen op basis van locatie?
Nee. Het is een regel die de server bovenop de versleuteling afdwingt. Je waarden zijn hoe dan ook versleuteld; de beperking bepaalt aan wie de server versleutelde data levert.
Wordt IPv6 ondersteund?
Ja. Netwerklijsten accepteren IPv4- en IPv6-bereiken.
Houd production binnen je eigen netwerken
Maak een netwerklijst voor je kantoor en VPN, en beperk daarna één omgeving.