Tillåtna privata adresser (SSRF-tillåtelselista)

AurionAI kontrollerar varje adress som ett arbetsflöde anropar, för att skydda din organisation och AurionAI mot förfrågningar till interna system. Som standard kan ett arbetsflöde endast anropa offentliga adresser. På sidan SSRF-tillåtelseslista kan en administratör öppna specifika privata nätverksadresser för stegen HTTP-begäran och Skicka webhook i dina arbetsflöden.

Tillgänglighet: Profilerna Helpdesk och AI Voice + Helpdesk. Endast administratörer.

Förutsättningar

• Du har rollen Ägare eller Administratör. Övriga användare ser Åtkomst nekad.
• Din organisation använder profilen Helpdesk eller AI Voice + Helpdesk.

Vad en post gör

• En post tillåter att stegen HTTP-begäran och Skicka webhook i dina arbetsflöden anropar den privata nätverksadressen. Posten gäller endast för din organisation.
• En post öppnar alla portar för adressen. Den begränsar inte förfrågan till en enda port.
• Offentliga adresser fungerar utan en post.
• AurionAI blockerar alltid loopback-adresser (localhost, 127.0.0.1, ::1) och molnmetadataadresser (till exempel 169.254.169.254). Du kan inte lägga till dem i listan.
• AurionAI blockerar alltid nätverken för AurionAI-plattformen själv, samt kluster- eller molninterna värdnamn. Du kan inte lägga till dem i listan.
• En post har ingen effekt på notifikationswebhookar, Slack-steg eller andra utgående förfrågningar. Dessa kräver alltid en offentlig adress.
• En post har ingen effekt när en variabel anger värdnamnet i URL:en. Skriv värdnamnet eller adressen direkt i URL:en.
• När en tillåten adress svarar med en omdirigering till en privat adress blockerar AurionAI omdirigeringen. Detta gäller även omdirigering till samma adress eller samma värdnamn.
• Varje förfrågan som en post tillåter skrivs till granskningsloggen.

Postformat

En post är ett av följande:

• en privat IPv4-adress, till exempel 10.20.0.5, eller ett privat IPv4-nätverk, till exempel 10.20.0.0/24. Det måste ligga inom 10.0.0.0/8, 172.16.0.0/12 eller 192.168.0.0/16. Ett nätverk måste vara /16 eller smalare.
• en privat IPv6-adress eller ett nätverk inom fc00::/7. Ett nätverk måste vara /48 eller smalare.
• ett exakt värdnamn, till exempel erp.northwind.example. En värdnamnspost ensam öppnar ingenting. Den fungerar endast tillsammans med en adress- eller nätverkspost som innehåller adresserna för värdnamnet.

En URL med en adress, till exempel http://10.20.0.5/, kräver en adress- eller nätverkspost. En URL med ett värdnamn kräver en värdnamnspost och en adress- eller nätverkspost. AurionAI slår upp värdnamnet när arbetsflödet körs:

• Offentliga adresser i svaret tillåts som vanligt.
• Varje privat adress i svaret måste ligga inom en av dina adress- eller nätverksposter. Om en privat adress inte gör det blockerar AurionAI förfrågan.

Ej accepterat: jokertecken (*.northwind.example), URL:er, portar, offentliga adresser, enkeletiketts-värdnamn (till exempel erp) samt värdnamn som slutar på .svc, .cluster.local, .internal, .local eller .localdomain.

Lägg till en post

1. Välj Konfiguration i sidofältet.
2. Öppna kategorin System.
3. Välj SSRF-tillåtelseslista.
4. Välj Lägg till post.
5. I Värd eller adress, ange adressen, nätverket eller värdnamnet. Använd ett av formaten under "Postformat" ovan. För ett värdnamn, lägg även till en post för dess adress eller nätverk.
6. Valfritt: i Beskrivning (valfritt), beskriv vad posten är till för.
7. Välj Skapa.

Stäng av eller ta bort en post

• För att stänga av eller aktivera en post, välj pennknappen för posten. Dess märke växlar mellan Aktiv och Inaktiv. En post som är avstängd tillåter ingenting.
• För att ta bort en post, välj papperskorgsknappen för posten och bekräfta i webbläsarfönstret.

Resultat

• AurionAI visar Post skapad eller Post borttagen.
• Ändringar sparas omedelbart. Nästa arbetsflödeskörning använder dem.
• Varje ny, ändrad eller borttagen post skrivs till granskningsloggen.
• Äldre poster som inte använder ett accepterat format (till exempel ett jokertecken eller början av en URL) tillåter ingenting. Ta bort dem och lägg till adressen igen i ett accepterat format.

Om något går fel

• Den här posten accepteras inte. Använd ett exakt värdnamn eller en privat adress eller ett privat nätverk enligt beskrivningen under fältet. Posten är inte i ett accepterat format, eller så är det en loopback-, molnmetadata-, AurionAI-plattforms- eller offentlig adress. Använd ett av formaten under "Postformat" ovan.
• Detta URL-mönster finns redan Posten finns redan i listan. Aktivera den befintliga posten i stället.
• En arbetsflödesförfrågan till en privat adress blockeras fortfarande. Kontrollera att:
  • posterna är Aktiv;
  • steget är ett HTTP-begäran- eller Skicka webhook-steg;
  • URL:en innehåller värdnamnet eller adressen direkt, inte en variabel;
  • för ett värdnamn finns det en värdnamnspost och varje privat adress för värdnamnet ligger inom en adress- eller nätverkspost.

Relaterade artiklar

• Bygg arbetsflöden
• Granskningslogg
• Notifikationswebhookar