Saltar al contenido
AurionAI

Direcciones privadas permitidas (lista de permitidos SSRF)

5 min de lecturaPor Emmanuel Yazbeck

AurionAI comprueba cada dirección a la que llama un flujo de trabajo para proteger a su organización y a AurionAI frente a solicitudes dirigidas a sistemas internos. De forma predeterminada, un flujo de trabajo solo puede llamar a direcciones públicas. En la página Lista blanca SSRF, un administrador puede abrir direcciones de red privada específicas para los pasos Solicitud HTTP y Enviar webhook de sus flujos de trabajo.

Disponibilidad: Perfiles Helpdesk y AI Voice + Helpdesk. Solo administradores.

Requisitos previos

  • Tiene el rol Propietario o Administrador. Los demás usuarios ven Acceso denegado.
  • Su organización utiliza el perfil Helpdesk o AI Voice + Helpdesk.

Qué hace una entrada

  • Una entrada permite que los pasos Solicitud HTTP y Enviar webhook de sus flujos de trabajo llamen a esa dirección de red privada. La entrada se aplica únicamente a su organización.
  • Una entrada abre todos los puertos de la dirección. No limita la solicitud a un único puerto.
  • Las direcciones públicas funcionan sin necesidad de una entrada.
  • AurionAI bloquea siempre las direcciones de bucle invertido (localhost, 127.0.0.1, ::1) y las direcciones de metadatos de nube (por ejemplo, 169.254.169.254). No es posible añadirlas a la lista.
  • AurionAI bloquea siempre las redes de la propia plataforma AurionAI, así como los nombres de host internos del clúster o de la nube. No es posible añadirlos a la lista.
  • Una entrada no tiene efecto sobre los webhooks de notificación, los pasos de Slack ni otras solicitudes salientes. Estos siempre requieren una dirección pública.
  • Una entrada no tiene efecto cuando una variable proporciona el nombre de host de la URL. Escriba el nombre de host o la dirección directamente en la URL.
  • Cuando una dirección permitida responde con una redirección a una dirección privada, AurionAI bloquea la redirección. Esto también se aplica a una redirección a la misma dirección o al mismo nombre de host.
  • Cada solicitud que permite una entrada queda registrada en el registro de auditoría.

Formatos de entrada

Una entrada es una de las siguientes:

  • Una dirección IPv4 privada, por ejemplo 10.20.0.5, o una red IPv4 privada, por ejemplo 10.20.0.0/24. Debe estar dentro de 10.0.0.0/8, 172.16.0.0/12 o 192.168.0.0/16. Una red debe ser /16 o más restrictiva.
  • Una dirección o red IPv6 privada dentro de fc00::/7. Una red debe ser /48 o más restrictiva.
  • Un nombre de host exacto, por ejemplo erp.northwind.example. Una entrada de nombre de host por sí sola no abre nada. Solo funciona junto con una entrada de dirección o red que contenga las direcciones del nombre de host.

Una URL con una dirección, por ejemplo http://10.20.0.5/, requiere una entrada de dirección o red. Una URL con un nombre de host requiere una entrada de nombre de host y una entrada de dirección o red. AurionAI resuelve el nombre de host cuando se ejecuta el flujo de trabajo:

  • Las direcciones públicas en la respuesta se permiten de la forma habitual.
  • Cada dirección privada en la respuesta debe estar dentro de una de sus entradas de dirección o red. Si alguna dirección privada no lo está, AurionAI bloquea la solicitud.

No se aceptan: comodines (*.northwind.example), URLs, puertos, direcciones públicas, nombres de host de una sola etiqueta (por ejemplo, erp), ni nombres de host que terminen en .svc, .cluster.local, .internal, .local o .localdomain.

Añadir una entrada

  1. En la barra lateral, seleccione Configuración.
  2. Abra la categoría Sistema.
  3. Seleccione Lista blanca SSRF.
  4. Seleccione Agregar entrada.
  5. En Host o dirección, escriba la dirección, red o nombre de host. Utilice uno de los formatos indicados en «Formatos de entrada» más arriba. Para un nombre de host, añada también una entrada para su dirección o red.
  6. Opcional: en Descripción (opcional), indique para qué sirve la entrada.
  7. Seleccione Crear.

Página Lista blanca SSRF con el formulario para una nueva entrada.

Desactivar o eliminar una entrada

  • Para desactivar o activar una entrada, seleccione el botón de lápiz de la entrada. Su distintivo cambia entre Activo e Inactivo. Una entrada desactivada no permite nada.
  • Para eliminar una entrada, seleccione el botón de papelera de la entrada y confirme en la ventana del navegador.

Resultado

  • AurionAI muestra Entrada creada o Entrada eliminada.
  • Los cambios se guardan de inmediato. La siguiente ejecución del flujo de trabajo los utilizará.
  • Cada entrada nueva, modificada o eliminada queda registrada en el registro de auditoría.
  • Las entradas antiguas que no utilizan un formato aceptado (por ejemplo, un comodín o el inicio de una URL) no permiten nada. Elimínelas y añada la dirección de nuevo en un formato aceptado.

Si algo va mal

  • Esta entrada no se acepta. Use un nombre de host exacto o una dirección o red privada, como se describe bajo el campo. La entrada no tiene un formato aceptado, o es una dirección de bucle invertido, de metadatos de nube, de la plataforma AurionAI o una dirección pública. Utilice uno de los formatos indicados en «Formatos de entrada» más arriba.
  • Este patrón de URL ya existe La entrada ya está en la lista. Active la entrada existente en su lugar.
  • Una solicitud de flujo de trabajo a una dirección privada sigue bloqueada. Asegúrese de que:
    • las entradas están Activo;
    • el paso es un paso Solicitud HTTP o Enviar webhook;
    • la URL contiene el nombre de host o la dirección directamente, no una variable;
    • para un nombre de host, existe una entrada de nombre de host y cada dirección privada del nombre de host está dentro de una entrada de dirección o red.

Artículos relacionados

¿Sigue con dudas? Envíe una solicitud o .