Spring til indhold
AurionAI

Tilladte private adresser (SSRF-tilladelsesliste)

4 min. læsningAf Emmanuel Yazbeck

AurionAI kontrollerer hver adresse, som en arbejdsgang kalder, for at beskytte din organisation og AurionAI mod anmodninger til interne systemer. Som standard kan en arbejdsgang kun kalde offentlige adresser. På siden SSRF-hvidliste kan en administrator åbne specifikke private netværksadresser for trinene HTTP-anmodning og Send webhook i dine arbejdsgange.

Tilgængelighed: Profilerne Helpdesk og AI Voice + Helpdesk. Kun administratorer.

Forudsætninger

  • Du har rollen Ejer eller Administrator. Andre brugere ser Adgang nægtet.
  • Din organisation bruger profilen Helpdesk eller AI Voice + Helpdesk.

Hvad en post gør

  • En post giver trinene HTTP-anmodning og Send webhook i dine arbejdsgange mulighed for at kalde den pågældende private netværksadresse. Posten gælder kun for din organisation.
  • En post åbner alle porte på adressen. Den begrænser ikke anmodningen til én port.
  • Offentlige adresser fungerer uden en post.
  • AurionAI blokerer altid loopback-adresser (localhost, 127.0.0.1, ::1) og cloud-metadataadresser (f.eks. 169.254.169.254). Du kan ikke tilføje dem til listen.
  • AurionAI blokerer altid netværkene for selve AurionAI-platformen samt klynge- eller cloud-interne værtsnavne. Du kan ikke tilføje dem til listen.
  • En post har ingen effekt på notifikationswebhooks, Slack-trin eller andre udgående anmodninger. Disse kræver altid en offentlig adresse.
  • En post har ingen effekt, når en variabel angiver URL'ens værtsnavn. Skriv værtsnavnet eller adressen direkte i URL'en.
  • Når en tilladt adresse svarer med en omdirigering til en privat adresse, blokerer AurionAI omdirigeringen. Dette gælder også for en omdirigering til den samme adresse eller det samme værtsnavn.
  • Hver anmodning, som en post tillader, skrives til revisionsloggen.

Postformater

En post er én af følgende:

  • en privat IPv4-adresse, f.eks. 10.20.0.5, eller et privat IPv4-netværk, f.eks. 10.20.0.0/24. Den skal være inden for 10.0.0.0/8, 172.16.0.0/12 eller 192.168.0.0/16. Et netværk skal være /16 eller smallere.
  • en privat IPv6-adresse eller et netværk inden for fc00::/7. Et netværk skal være /48 eller smallere.
  • et præcist værtsnavn, f.eks. erp.northwind.example. En værtsnavnspost alene åbner ingenting. Den fungerer kun sammen med en adresse- eller netværkspost, der indeholder adresserne for værtsnavnet.

En URL med en adresse, f.eks. http://10.20.0.5/, kræver en adresse- eller netværkspost. En URL med et værtsnavn kræver en værtsnavnspost og en adresse- eller netværkspost. AurionAI slår værtsnavnet op, når arbejdsgangen kører:

  • Offentlige adresser i svaret er tilladt som sædvanligt.
  • Hver privat adresse i svaret skal være inden for én af dine adresse- eller netværksposter. Hvis én privat adresse ikke er det, blokerer AurionAI anmodningen.

Ikke accepteret: jokertegn (*.northwind.example), URL'er, porte, offentlige adresser, enkelt-label-værtsnavne (f.eks. erp) og værtsnavne, der slutter på .svc, .cluster.local, .internal, .local eller .localdomain.

Tilføj en post

  1. Vælg Konfiguration i sidebjælken.
  2. Åbn kategorien System.
  3. Vælg SSRF-hvidliste.
  4. Vælg Tilføj post.
  5. I Vært eller adresse skal du skrive adressen, netværket eller værtsnavnet. Brug et af formaterne under "Postformater" ovenfor. For et værtsnavn skal du også tilføje en post for dets adresse eller netværk.
  6. Valgfrit: i Beskrivelse (valgfrit) kan du angive, hvad posten er til.
  7. Vælg Opret.

Siden SSRF-hvidliste med formularen til en ny post.

Slå en post fra eller slet den

  • For at slå en post fra eller til skal du vælge blyantknappen for posten. Dens mærke skifter mellem Aktiv og Inaktiv. En post, der er slået fra, tillader ingenting.
  • For at slette en post skal du vælge skraldespandsknappen for posten og bekræfte i browservinduet.

Resultat

  • AurionAI viser Hvidlistepost oprettet eller Hvidlistepost slettet.
  • Ændringer gemmes med det samme. Den næste arbejdsgangs-kørsel bruger dem.
  • Alle nye, ændrede eller slettede poster skrives til revisionsloggen.
  • Ældre poster, der ikke bruger et accepteret format (f.eks. et jokertegn eller begyndelsen af en URL), tillader ingenting. Slet dem og tilføj adressen igen i et accepteret format.

Hvis noget går galt

  • Denne post accepteres ikke. Brug et præcist værtsnavn eller en privat adresse eller et privat netværk som beskrevet under feltet. Posten er ikke i et accepteret format, eller den er en loopback-, cloud-metadata-, AurionAI-platform- eller offentlig adresse. Brug et af formaterne under "Postformater" ovenfor.
  • Dette URL-mønster findes allerede Posten findes allerede på listen. Slå den eksisterende post til i stedet.
  • En arbejdsgangsanmodning til en privat adresse er stadig blokeret. Sørg for at:
    • posterne er Aktiv;
    • trinnet er et HTTP-anmodning- eller Send webhook-trin;
    • URL'en indeholder selve værtsnavnet eller adressen og ikke en variabel;
    • for et værtsnavn: der er en værtsnavnspost, og alle private adresser for værtsnavnet er inden for en adresse- eller netværkspost.

Relaterede artikler

Sidder du stadig fast? Send en anmodning eller .