Надежная безопасность состоит из нескольких уровней, и каждый уровень выполняет задачу, с которой не справляются другие. Ограничение токена рамками Сервера ограничивает область его действия. Ротация токена ограничивает срок его службы. Ни то, ни другое не может сказать ничего о том, откуда поступил запрос.
Мы проделали большую работу, чтобы выпустить новый уровень защиты, который может это сделать.
Белый список IP-адресов — это новая функция безопасности Postmark, которая позволяет указать инфраструктуру, с которой должна отправляться ваша почта. Она уже доступна на всех тарифных планах Postmark без дополнительной платы. Функция отключена, пока вы ее не включите.
Как работает белый список IP-адресов #
Вы добавляете до 10 диапазонов IP-адресов в формате CIDR, которым разрешено отправлять электронную почту с помощью API Postmark. Запросы на отправку из-за пределов этих диапазонов отклоняются с кодом состояния 403, который включает IP-адрес, с которого пришел запрос.
Вы можете настроить диапазоны в двух местах:
На сервере. Диапазоны применяются к этому Серверу, охватывая каждый Почтовый поток на нем. Именно с этого мы рекомендуем начать.
В вашей учетной записи. Диапазоны применяются ко всем вашим Серверам. Когда у Сервера есть собственные диапазоны, они переопределяют настройки на уровне учетной записи.
Вот и все! Простое средство контроля безопасности для защиты отправки через API. Защищайте отдельные Серверы или всю учетную запись.
Если вы нечасто пишете блоки CIDR, вам понадобится всего 30 секунд, чтобы ознакомиться с ними и правильной нотацией. Блоки CIDR позволяют включить сгруппированную совокупность IP-адресов (т. е. диапазонов). Блок CIDR представляет собой IP-адрес, за которым следует суффикс, указывающий, сколько адресов он охватывает. Чем меньше суффикс, тем шире диапазон:
Таким образом, /32 закрепляет белый список за одной машиной, а /24 охватывает подсеть. Большинство команд в итоге оказываются где-то в этом диапазоне.
Где найти собственные диапазоны, зависит от того, как вы отправляете. У отдельной виртуальной машины есть статический общедоступный IP-адрес, который можно посмотреть на панели управления вашего провайдера. Облачные рабочие нагрузки за шлюзом NAT отправляют данные с адресов шлюза, а не с отдельных инстансов. Локальная инфраструктура отправляет данные с любого исходящего трафика, который настроила ваша сетевая команда, и они будут знать его.
Имеет значение тот IP-адрес, с которого фактически поступают ваши запросы API, а это не всегда тот адрес, который вы можете предположить. Если вы не уверены, заблокированный запрос подскажет вам: ответ 403 содержит IP-адрес, обнаруженный Postmark.
Подходит ли вам белый список IP-адресов? #
Белый список оправдывает себя, когда отправка через API осуществляется с известного, стабильного набора IP-адресов. Это могут быть ваши собственные серверы, фиксированный исходящий облачный трафик или управляемый шлюз NAT. Если вы можете назвать IP-адреса, с которых должна приходить ваша почта, вы можете отклонить все остальное.
Это особенно подходит, если вы отправляете от имени собственных клиентов, работаете в рамках режима соответствия требованиям, предполагающего контроль на сетевом уровне, или осуществляете отправку из инфраструктуры, которой уже управляет команда безопасности.
Если ваши IP-адреса отправки часто меняются или их невозможно перечислить (бессерверные технологии без уровня NAT, автомасштабируемые пулы без фиксированного исходящего трафика, отправка, инициируемая сборщиками CI), белый список будет работать против вас. Вам придется постоянно обновлять диапазоны, и любой пропущенный диапазон заблокирует вашу собственную почту. В этом случае это неподходящий инструмент, и оставить его отключенным — разумное решение.
Как включить его, не блокируя собственную почту #
Режим сбоя здесь очевиден: диапазон, в котором отсутствует один из ваших собственных IP-адресов, блокирует вашу собственную отправку. Этому мешают две вещи.
Начните с более широкого диапазона, чем вам кажется необходимым. Диапазон шире необходимого все равно отклоняет все, что находится за пределами вашей инфраструктуры. Слишком узкий диапазон отклоняет вас. Сузьте его после того, как подтвердите, что именно осуществляет отправку.
Проверьте на Сервере, от которого вы не зависите. Разверните тестовый Сервер, добавьте туда свои диапазоны и отправляйте на него из производственной среды. Если эти отправки проходят, ваши диапазоны охватывают инфраструктуру, с которой вы действительно отправляете. Если нет, ошибка 403 указывает на пропущенный вами IP-адрес, и ничто реальное не было поставлено на карту.
Примечание. Как мы упоминали выше, начинайте с уровня Сервера, а не с уровня учетной записи. Диапазоны учетной записи применяются ко всем Серверам одновременно, поэтому неполный диапазон влияет на всю отправку через API. Проверьте свои диапазоны на одном Сервере, а затем расширяйте.
Как только ваши диапазоны будут заданы, вы включаете белый список. До этого момента ничего не применяется, и вы можете отключить его в любой момент — что также является самым быстрым исправлением, если ожидаемая отправка будет отклонена.
Полезно знать #
Несколько моментов, которые следует спланировать при настройке.
- Белый список применяется только к конечным точкам отправки электронной почты. Отправки SMTP не проверяются по вашим диапазонам. Если вы не используете SMTP на Сервере, его отключение там добавляет еще один уровень защиты. Ваши другие вызовы API — управление Шаблонами, чтение статистики, обработка списков подавления — работают с любого IP-адреса с действительным токеном; белый список — это элемент управления именно для отправки.
- Он настраивается в пользовательском интерфейсе по замыслу. Исключение изменений белого списка из API добавляет еще один уровень контроля над тем, кто может прикасаться к вашей защите отправки.
- Каждый Сервер и ваша учетная запись сохраняют собственные настройки. Если вы управляете большим пулом, установите диапазоны своей учетной записи в качестве значения по умолчанию и переопределите только те Серверы, которые отправляют данные из другого места.
Примечание. Белый список является элементом управления на пути отправки Postmark, а не брандмауэром или WAF. Он определяет, какие IP-адреса могут отправлять электронную почту через вашу учетную запись, и не меняет правила безопасности на сетевом уровне, которые находятся перед Postmark. IP-адрес из вашего белого списка все равно может быть заблокирован средствами защиты за пределами пути отправки Postmark.
Мы уже изучаем, что будет дальше, и использующие это команды сформируют это. Если вам нужно что-то сделать, скажите нам.
Чем белый список IP-адресов отличается от выделенных и общих IP-адресов #
Две разные вещи используют слово «IP» здесь, и их стоит разделить.
Выделенные и общие IP-адреса относятся к адресу, с которого отправляется ваше письмо — это отправляющая личность, которую видят получающие почтовые серверы, и к которой привязывается ваша репутация отправителя. Общие IP-адреса по умолчанию используются в Postmark: тщательно проверенные пулы, что позволяет вам начать отправку без какого-либо прогрева. Выделенные IP-адреса — это дополнение для отправителей с большим объемом.
Белый список IP-адресов относится к адресу, с которого поступают ваши запросы API — это исходящий трафик вашего приложения, а не инфраструктура отправки Postmark. Включение этой функции не меняет IP-адреса, с которых доставляется ваша почта, и не имеет никакого отношения к репутации или прогреву.
Это также противоположность внесению IP-адресов Postmark в белый список внутри вашего собственного брандмауэра. Там вы решаете, что ваша сеть принимает от нас. Здесь вы решаете, что мы принимаем от вас.
Настройте это #
Если ваша отправка через API осуществляется с IP-адресов, которые вы можете назвать, настройка белого списка займет несколько минут и реально сократит количество мест, где можно использовать токен.
Настроить белый список IP-адресов →
