Siirry sisältöön
AurionAI

Sallitut yksityiset osoitteet (SSRF-sallittujen lista)

Lukuaika 3 minKirjoittanut Emmanuel Yazbeck

AurionAI tarkistaa jokaisen osoitteen, johon työnkulku ottaa yhteyttä, suojatakseen organisaatiotasi ja AurionAI:ta sisäisiin järjestelmiin kohdistuvilta pyynnöiltä. Oletuksena työnkulku voi ottaa yhteyttä vain julkisiin osoitteisiin. SSRF-sallittujen lista-sivulla järjestelmänvalvoja voi avata tiettyjä yksityisverkon osoitteita työnkulkujesi HTTP-pyyntö- ja Lähetä webhook-vaiheille.

Saatavuus: Helpdesk- ja AI Voice + Helpdesk-profiilit. Vain järjestelmänvalvojille.

Edellytykset

  • Sinulla on Omistaja- tai Ylläpitäjä-rooli. Muut käyttäjät näkevät Pääsy estetty.
  • Organisaatiosi käyttää Helpdesk- tai AI Voice + Helpdesk-profiilia.

Mitä merkintä tekee

  • Merkintä sallii työnkulkujesi HTTP-pyyntö- ja Lähetä webhook-vaiheiden ottaa yhteyttä kyseiseen yksityisverkon osoitteeseen. Merkintä koskee vain organisaatiotasi.
  • Merkintä avaa kaikki osoitteen portit. Se ei rajoita pyyntöä yhteen porttiin.
  • Julkiset osoitteet toimivat ilman merkintää.
  • AurionAI estää aina loopback-osoitteet (localhost, 127.0.0.1, ::1) ja pilven metatietoosoitteet (esimerkiksi 169.254.169.254). Niitä ei voi lisätä luetteloon.
  • AurionAI estää aina AurionAI-alustan omien verkkojen sekä klusterin tai pilven sisäisten isäntänimien käytön. Niitä ei voi lisätä luetteloon.
  • Merkinnällä ei ole vaikutusta ilmoituswebhookeihin, Slack-vaiheisiin tai muihin lähteviin pyyntöihin. Nämä vaativat aina julkisen osoitteen.
  • Merkinnällä ei ole vaikutusta, jos muuttuja antaa URL-osoitteen isäntänimen. Kirjoita isäntänimi tai osoite itse URL-osoitteeseen.
  • Kun sallittu osoite vastaa uudelleenohjauksella yksityiseen osoitteeseen, AurionAI estää uudelleenohjauksen. Tämä koskee myös uudelleenohjausta samaan osoitteeseen tai samaan isäntänimeen.
  • Jokainen merkinnän sallima pyyntö kirjataan tarkastuslokiin.

Merkintämuodot

Merkintä on jokin seuraavista:

  • yksityinen IPv4-osoite, esimerkiksi 10.20.0.5, tai yksityinen IPv4-verkko, esimerkiksi 10.20.0.0/24. Sen on oltava 10.0.0.0/8-, 172.16.0.0/12- tai 192.168.0.0/16-alueen sisällä. Verkon on oltava /16 tai suppeampi.
  • yksityinen IPv6-osoite tai -verkko fc00::/7-alueen sisällä. Verkon on oltava /48 tai suppeampi.
  • tarkka isäntänimi, esimerkiksi erp.northwind.example. Pelkkä isäntänimimerkintä ei avaa mitään. Se toimii vain yhdessä osoite- tai verkkomerkinnän kanssa, joka sisältää isäntänimen osoitteet.

URL-osoite, jossa on osoite, esimerkiksi http://10.20.0.5/, tarvitsee osoite- tai verkkomerkinnän. URL-osoite, jossa on isäntänimi, tarvitsee isäntänimimerkinnän ja osoite- tai verkkomerkinnän. AurionAI hakee isäntänimen, kun työnkulku suoritetaan:

  • Vastauksessa olevat julkiset osoitteet sallitaan tavalliseen tapaan.
  • Jokaisen vastauksessa olevan yksityisen osoitteen on oltava jonkin osoite- tai verkkomerkintäsi sisällä. Jos yksikin yksityinen osoite ei ole, AurionAI estää pyynnön.

Ei hyväksytä: yleismerkkejä (*.northwind.example), URL-osoitteita, portteja, julkisia osoitteita, yksittäistunnisteiset isäntänimiä (esimerkiksi erp) eikä isäntänimiä, jotka päättyvät .svc-, .cluster.local-, .internal-, .local- tai .localdomain-päätteeseen.

Lisää merkintä

  1. Valitse sivupalkista Asetukset.
  2. Avaa Järjestelmä-luokka.
  3. Valitse SSRF-sallittujen lista.
  4. Valitse Lisää merkintä.
  5. Kirjoita Isäntä tai osoite-kenttään osoite, verkko tai isäntänimi. Käytä jotakin yllä olevan kohdan "Merkintämuodot" muodoista. Lisää isäntänimelle myös merkintä sen osoitteelle tai verkolle.
  6. Valinnainen: kirjoita Kuvaus (valinnainen)-kenttään, mitä varten merkintä on.
  7. Valitse Luo.

SSRF-sallittujen lista-sivu, jossa on uuden merkinnän lomake.

Poista merkintä käytöstä tai poista se

  • Voit ottaa merkinnän pois käytöstä tai ottaa sen käyttöön valitsemalla merkinnän kynäpainikkeen. Sen merkki vaihtuu Aktiivinen- ja Ei-aktiivinen-tilan välillä. Käytöstä poistettu merkintä ei salli mitään.
  • Voit poistaa merkinnän valitsemalla merkinnän roskakoripainikkeen ja vahvistamalla toiminnon selainikkunassa.

Tulos

  • AurionAI näyttää Sallittujen listan merkintä luotu- tai Sallittujen listan merkintä poistettu-ilmoituksen.
  • Muutokset tallennetaan välittömästi. Seuraava työnkulun suoritus käyttää niitä.
  • Jokainen uusi, muutettu tai poistettu merkintä kirjataan tarkastuslokiin.
  • Vanhemmat merkinnät, jotka eivät käytä hyväksyttyä muotoa (esimerkiksi yleismerkki tai URL-osoitteen alku), eivät salli mitään. Poista ne ja lisää osoite uudelleen hyväksytyssä muodossa.

Jos jokin menee pieleen

  • Tätä merkintää ei hyväksytä. Käytä tarkkaa isäntänimeä tai yksityistä osoitetta tai verkkoa kentän alla kuvatulla tavalla. Merkintä ei ole hyväksytyssä muodossa, tai se on loopback-, pilven metatietoosoite, AurionAI-alustan osoite tai julkinen osoite. Käytä jotakin yllä olevan kohdan "Merkintämuodot" muodoista.
  • Tämä URL-malli on jo olemassa Merkintä on jo luettelossa. Ota olemassa oleva merkintä käyttöön sen sijaan.
  • Työnkulun pyyntö yksityiseen osoitteeseen on edelleen estetty. Varmista, että:
    • merkinnät ovat Aktiivinen-tilassa;
    • vaihe on HTTP-pyyntö- tai Lähetä webhook-vaihe;
    • URL-osoite sisältää isäntänimen tai osoitteen itse, ei muuttujaa;
    • isäntänimelle on isäntänimimerkintä ja jokainen isäntänimen yksityinen osoite on osoite- tai verkkomerkinnän sisällä.

Aiheeseen liittyvät artikkelit

Etkö vieläkään löytänyt apua? Lähetä pyyntö tai .