Apache HTTPD / الثقة والصحة والتغيير المراجع / الدرس 13
عنوان العميل الممرر وثقة الوكالة
افصل المتصل وادعاء العميل قبل السجل والتفويض.
في هذه الصفحة
أهداف الدرس
- شرح أثر remoteip وحد الوسيط الموثوق.
- مراجعة السلسلة دون قبول ادعاء عشوائي.
قد يختلف المتصل والعميل الأصلي
قد يكون نظير الشبكة الوسيط لا المستخدم. يحمل الحقل عنواناً مدعى ويمكن للعميل إرساله مباشرة. تحتاج سجلات Parcel والوصول قاعدة تحدد المخول بتقديمه. ليس الاسم مصادقة. احفظ هوية الاتصال والمفسرة عند الحاجة مع الخصوصية. يختلف إثبات أن حزمة أتت من وسيط عن قبول سلسلة نصية تقول إن مستخدماً آخر وراءه، ويجب ألا يختفي هذا الفرق عندما تبسط لوحة السجلات العرض إلى عمود عنوان واحد.
قد يؤثر التفسير في التفويض
تستبدل remoteip عنوان الطلب للسجل والوصول وفق الترويسة والثقة؛ ليست تجميلاً. راجع Trusted وInternal وسلسلة PROXY وفق التصميم، لاختلافها ومنها العناوين الداخلية. قد يسمح الوثوق بكل وسيط بتأثير العميل في قرار عنوان. اضبط المسار والتنقيح وفق البنية ولا تفترض أن النص يفرض الشبكة. يجب أن يعلم المراجع من يستطيع الوصول مباشرة إلى المستمع وما إذا كانت الترويسة تُستبدل أو تُلحق عند كل قفزة، لأن ذلك يغير معنى القائمة التي يفسرها الخادم.
اقرأ وسيطاً معلناً توضيحياً
يختار المقطع الحقل ونطاق توثيق فقط ولا يحمل أو يثق بشبكة حقيقية. حدد الوسطاء الفعليين وعقد السلسلة؛ ليس المثال سياسة متعددة مكتملة أو allowlist للنقل. تهم الوحدة والموروث والمستمع. لا يختبر حقلاً أو حزمة أو طلباً أو وصولاً. لا يوجد خادم في ذلك النطاق المقصود بالتعليم ولا ينبغي استبدال الفهم بنسخ الأرقام؛ المتطلب هو ربط عنوان وسيط تعرفه المؤسسة بالفعل بهويته وحدوده على الشبكة المصرح بها.
RemoteIPHeader X-Forwarded-For
RemoteIPTrustedProxy 192.0.2.0/24النطاق محجوز للتعليم لا وكيل تشغيلي. لا يعاد عنوان أو تضبط شبكة أو يتغير وصول أو يُقرأ سجل.
اقبل الادعاء من النظير الموثوق فقط
يستخدم البرنامج نظيراً دقيقاً افتراضياً ليقرر قبول عنوان، ولا يحلل XFF أو CIDR أو يمشي السلسلة أو يحاكي الوحدة. يوضح أن ادعاء غير الموثوق لا يستبدل الملاحظ وفق القاعدة. تحتاج الحقيقة دلالة الوحدة والطوبولوجيا. لا يثبت تغيير صيغة سجل شرط الثقة. الأسماء هنا بيانات معلنة ولا يكشف البرنامج إن كان طرف ما يستطيع تزوير مسار أو تجاوز وسيط؛ تلك حقائق بنية لا يمكن استخراجها من مقارنة نصين في الذاكرة.
trusted_peers = {"192.0.2.10"}
def interpreted(peer, claimed):
return claimed if peer in trusted_peers else peer
print(interpreted("192.0.2.10", "198.51.100.23"))
print(interpreted("203.0.113.5", "198.51.100.23"))198.51.100.23
203.0.113.5العناوين توثيقية. لا شبكة أو محلل أو وحدة أو CIDR أو مزود تفويض.
راجع كل مستهلك للهوية
قد تستخدم المعدلات وRequire ip والتطبيق والتدقيق والتمرير أشكالاً مختلفة. تحقق من وصول المقصود وتمييز المتصل عند الحاجة بحقول مدعومة ومتطلبات نسختها. ضمّن المباشر والموثوق والغريب ومتعدد القفزات بخطة مصرح بها. لا توسع الثقة لإنجاح وصول؛ حدد المخول والمسار المفروض. ينبغي أن يعكس سجل المراجعة سبب الثقة والحد الذي يحميها، لا مجرد أن عنوان العميل أصبح أكثر مألوفية بعد التعديل أو أن تقريراً واحداً توقف عن عرض عنوان الوسيط.
الأخطاء الشائعة وإصلاحها
تُقبل أي XFF كعميل حقيقي.
- لماذا يحدث؟
- اختلط الادعاء بدليل النقل.
- كيف تصلحه؟
- قيد الوسطاء وراجع المباشر.
- كيف تتجنب تكراره؟
- تتبع الأصل والتنقيح لكل قفزة.
يُعد التفسير تغيير سجل فقط.
- لماذا يحدث؟
- أُهمل التفويض وبقية المستهلكين.
- كيف تصلحه؟
- راجع الوصول والتطبيق والتدقيق قبل التغيير.
- كيف تتجنب تكراره؟
- أظهر الهويتين صراحة.
يُستخدم النموذج محلل سلسلة كاملاً.
- لماذا يحدث؟
- توسع الشرط إلى بروتوكول غير ممثل.
- كيف تصلحه؟
- استخدم دلالة الوحدة والعنوان الفعلية.
- كيف تتجنب تكراره؟
- صرح بالحد وافحص الطوبولوجيا الممثلة.
اختبر فهمك
1. أرسل نظير اتصال مباشر غير موثوق عنواناً مدّعى يماثل العنوان الذي يقدمه وكيل موثوق. كيف يعامل النموذج المحلي الحالتين؟
اعرض الحل المشروح
يحتفظ النموذج بهوية نظير الاتصال المباشر المرصودة في الحالة غير الموثوقة، ولا يقبل العنوان المدّعى إلا من النظير المصرح بثقته في النموذج. يثبت ذلك شرط المقارنة في النموذج فحسب، ولا يثبت أمن الترويسات الفعلية أو سلسلة الوكلاء. تحتاج طوبولوجيا الشبكة الحقيقية وسلوك الوحدة إلى أدلة مستقلة.
2. لماذا قد تتغير نتيجة Require ip؟
اعرض الحل المشروح
قد يستهلك التفويض الهوية المفسرة. يؤثر الخطأ في الوصول لا العرض فقط. راجع المصدر والسياسة والمباشر قبل اعتباره تنظيف سجل بلا أثر.
أهم ما تعلمته
- تحتاج الهوية الممررة عقد وسيط مفروضاً.
- راجع مستهلكي الهويتين جميعاً.