Toegestane privéadressen (SSRF-allowlist)

AurionAI controleert elk adres dat een workflow aanroept, om uw organisatie en AurionAI te beschermen tegen verzoeken aan interne systemen. Standaard kan een workflow alleen openbare adressen aanroepen. Op de pagina SSRF-toelatingslijst kan een beheerder specifieke privénetwerkadressen openstellen voor de stappen HTTP-verzoek en Webhook verzenden van uw workflows.

Beschikbaarheid: Profielen Helpdesk en AI Voice + Helpdesk. Alleen beheerders.

Vereisten

• U heeft de rol Eigenaar of Beheerder. Andere gebruikers zien Toegang geweigerd.
• Uw organisatie gebruikt het profiel Helpdesk of AI Voice + Helpdesk.

Wat een vermelding doet

• Een vermelding staat de stappen HTTP-verzoek en Webhook verzenden van uw workflows toe dat privénetwerkadres aan te roepen. De vermelding geldt alleen voor uw organisatie.
• Een vermelding opent alle poorten van het adres. Het beperkt het verzoek niet tot één poort.
• Openbare adressen werken zonder vermelding.
• AurionAI blokkeert altijd loopback-adressen (localhost, 127.0.0.1, ::1) en cloud-metadataadressen (bijvoorbeeld 169.254.169.254). U kunt deze niet aan de lijst toevoegen.
• AurionAI blokkeert altijd de netwerken van het AurionAI-platform zelf, en cluster- of cloud-interne hostnamen. U kunt deze niet aan de lijst toevoegen.
• Een vermelding heeft geen effect op notificatiewebhooks, op Slack-stappen of op andere uitgaande verzoeken. Deze hebben altijd een openbaar adres nodig.
• Een vermelding heeft geen effect wanneer een variabele de hostnaam van de URL bepaalt. Schrijf de hostnaam of het adres in de URL zelf.
• Wanneer een toegestaan adres antwoordt met een omleiding naar een privéadres, blokkeert AurionAI de omleiding. Dit geldt ook voor een omleiding naar hetzelfde adres of dezelfde hostnaam.
• Elk verzoek dat een vermelding toestaat, wordt weggeschreven naar het auditlogboek.

Vermeldingsformaten

Een vermelding is een van de volgende:

• een privé-IPv4-adres, bijvoorbeeld 10.20.0.5, of een privé-IPv4-netwerk, bijvoorbeeld 10.20.0.0/24. Het moet binnen 10.0.0.0/8, 172.16.0.0/12 of 192.168.0.0/16 vallen. Een netwerk moet /16 of smaller zijn.
• een privé-IPv6-adres of -netwerk binnen fc00::/7. Een netwerk moet /48 of smaller zijn.
• een exacte hostnaam, bijvoorbeeld erp.northwind.example. Een hostnaamvermelding alleen opent niets. Het werkt alleen samen met een adres- of netwerkvermelding die de adressen van de hostnaam bevat.

Een URL met een adres, bijvoorbeeld http://10.20.0.5/, heeft een adres- of netwerkvermelding nodig. Een URL met een hostnaam heeft een hostnaamvermelding en een adres- of netwerkvermelding nodig. AurionAI zoekt de hostnaam op wanneer de workflow wordt uitgevoerd:

• Openbare adressen in het antwoord zijn zoals gebruikelijk toegestaan.
• Elk privéadres in het antwoord moet binnen een van uw adres- of netwerkvermeldingen vallen. Als één privéadres dat niet doet, blokkeert AurionAI het verzoek.

Niet geaccepteerd: jokertekens (*.northwind.example), URL's, poorten, openbare adressen, hostnamen met één label (bijvoorbeeld erp), en hostnamen die eindigen op .svc, .cluster.local, .internal, .local of .localdomain.

Een vermelding toevoegen

1. Selecteer in de zijbalk Configuratie.
2. Open de categorie Systeem.
3. Selecteer SSRF-toelatingslijst.
4. Selecteer Invoer toevoegen.
5. Typ in Host of adres het adres, netwerk of de hostnaam. Gebruik een van de formaten onder "Vermeldingsformaten" hierboven. Voeg voor een hostnaam ook een vermelding toe voor het bijbehorende adres of netwerk.
6. Optioneel: geef in Beschrijving (optioneel) aan waarvoor de vermelding bedoeld is.
7. Selecteer Aanmaken.

Een vermelding uitschakelen of verwijderen

• Om een vermelding uit of in te schakelen, selecteert u de potloodknop van de vermelding. Het label wisselt tussen Actief en Inactief. Een uitgeschakelde vermelding staat niets toe.
• Om een vermelding te verwijderen, selecteert u de prullenbakknop van de vermelding en bevestigt u dit in het browservenster.

Resultaat

• AurionAI toont Invoer aangemaakt of Invoer verwijderd.
• Wijzigingen worden direct opgeslagen. De volgende workflowuitvoering maakt er gebruik van.
• Elke nieuwe, gewijzigde of verwijderde vermelding wordt weggeschreven naar het auditlogboek.
• Oudere vermeldingen die geen geaccepteerd formaat gebruiken (bijvoorbeeld een jokerteken of het begin van een URL) staan niets toe. Verwijder ze en voeg het adres opnieuw toe in een geaccepteerd formaat.

Als er iets misgaat

• Deze vermelding wordt niet geaccepteerd. Gebruik een exacte hostnaam of een privéadres of -netwerk, zoals onder het veld beschreven. De vermelding heeft geen geaccepteerd formaat, of het is een loopback-, cloud-metadata-, AurionAI-platform- of openbaar adres. Gebruik een van de formaten onder "Vermeldingsformaten" hierboven.
• Dit URL-patroon bestaat al De vermelding staat al in de lijst. Schakel de bestaande vermelding in plaats daarvan in.
• Een workflowverzoek naar een privéadres wordt nog steeds geblokkeerd. Controleer of:
  • de vermeldingen Actief zijn;
  • de stap een stap van het type HTTP-verzoek of Webhook verzenden is;
  • de URL de hostnaam of het adres zelf bevat, niet een variabele;
  • er voor een hostnaam een hostnaamvermelding is en elk privéadres van de hostnaam binnen een adres- of netwerkvermelding valt.

Gerelateerde artikelen

• Workflows bouwen
• Auditlogboek
• Notificatiewebhooks