Production otwiera się tylko z dozwolonych sieci
Ogranicz środowisko do wybranych sieci, a serwer będzie wydawał jego zawartość tylko adresom z twoich list dozwolonych sieci. Ograniczenie obejmuje ludzi, maszyny i tokeny usługowe, także właścicieli i administratorów.
- Zakresy IPv4 i IPv6
- Podpisane reguły, opóźnione złagodzenie
- Dostęp awaryjny dla właścicieli
Listy sieci i reguły środowisk
Listy sieci to podpisane listy zakresów adresów, na przykład Office i VPN. Reguła sieciowa środowiska określa, kto i skąd dostaje jego zawartość, a jej zapisanie wymaga podpisu właściciela lub administratora.
- Ludzie, maszyny, tokenyUstaw osobne zakresy dla ludzi i dla maszyn, a na czas ograniczenia wyłącz linki dostępu.
- Zapis też jest ograniczonyNowe wersje są przyjmowane tylko z dozwolonych sieci.
- CI tylko z OIDCReguła może wymagać, by tokeny usługowe miały powiązanie z CI.
Zaostrzenie od razu, złagodzenie z opóźnieniem
Zaostrzenie reguły działa natychmiast. Złagodzenie czeka 15 minut, a właściciele dostają alert i przycisk Cancel relaxation – chyba że złagodzenie podpisze także drugi administrator.
| Zmiana | Zaczyna działać |
|---|---|
| Zaostrzenie reguły | Natychmiast |
| Złagodzenie reguły | Po 15 minutach, z alertem dla właścicieli i przyciskiem Cancel relaxation |
| Złagodzenie od razu | Tylko z drugim podpisem innego administratora |
Aplikacje klienckie pamiętają ostatnią przyjętą regułę i nie przyjmą starszej.
Na chwile, gdy reguła przeszkadza
Serwery zmieniają adresy, a właściciele podróżują. Wyjątki są wbudowane, ograniczone w czasie i nigdy nie dzieją się po cichu.
- Przepustki maszynGdy zmienia się zewnętrzny adres maszyny, przepustka przez pewien czas, domyślnie 24 godziny, pozwala dalej wydawać zawartość na nowy adres.
- Dostęp awaryjnyWłaściciel może obejść regułę na maksymalnie 60 minut, podając pisemne uzasadnienie; wywołuje to alert.
- Odmowy są widoczneWszystkie odmowy widać na karcie Denials. Odmowa dla maszyny lub tokenu wywołuje alert krytyczny, a dla osoby – ostrzeżenie.
- Agent zna powódMaszyna odrzucona przez regułę sieciową kończy działanie z kodem 7, więc skrypty odróżnią to od innych błędów.
Reguła na serwerze, a nie warstwa szyfrowania
Twoje wartości i tak są zaszyfrowane. Ograniczenie decyduje, komu serwer wyda zaszyfrowane dane.
- Egzekwuje ją serwerPrzejęty serwer nie będzie jej przestrzegał. Podpisy sprawiają tylko, że podmienioną regułę zauważą aplikacje klienckie, które widziały nowszą.
- Adres, który widzi serwerWszyscy za tym samym NAT-em lub proxy mają jeden wspólny adres. Za proxy ustaw TRUST_PROXY, żeby serwer odczytywał prawdziwy.
- Co dostarczone, to dostarczoneZawartość otrzymana przed wprowadzeniem ograniczenia zostaje na urządzeniach i w pamięci agentów.
- Przepustka to okno czasoweKlucz maszyny skradziony razem z aktywną przepustką pozwala pobierać zawartość do końca ważności przepustki.
Odpowiedzi na częste pytania
Masz inne pytanie? Napisz na support@crunu.com
Czy ograniczenie dotyczy właścicieli i administratorów?
Tak. Obejmuje tak samo ludzi, maszyny i tokeny usługowe. Gdy to konieczne, właściciele mają dostęp awaryjny na maksymalnie 60 minut, z uzasadnieniem i alertem.
A jeśli ktoś poluzuje regułę skradzioną sesją?
Zmiana reguły wymaga podpisu kluczem właściciela lub administratora, a sam skradziony token sesji go nie wytworzy. Nawet podpisane złagodzenie czeka 15 minut i wysyła alert właścicielom, którzy mogą je anulować.
Adres IP naszego serwera zmienił się w nocy. Czy przestanie działać?
Nie od razu. Przepustka maszyny pozwala dalej wydawać zawartość na nowy adres, domyślnie przez 24 godziny, i wywołuje alert.
Czy to to samo co szyfrowanie zależne od lokalizacji?
Nie. To reguła, którą serwer egzekwuje dodatkowo, poza szyfrowaniem. Twoje wartości i tak są zaszyfrowane; ograniczenie decyduje, komu serwer wyda zaszyfrowane dane.
Czy obsługuje IPv6?
Tak. Listy sieci przyjmują zakresy IPv4 i IPv6.
Trzymaj production w swoich sieciach
Utwórz listę sieci dla biura i VPN, a potem ogranicz jedno środowisko.