Meshnet, Docker en die toestemming daartussen

Twee URL’s kan in ’n eweknie se blaaier identies lyk en tog heel verskillende dinge vir die vuurmuur beteken. Die een wys na ’n diens wat op die gasheer self luister. Die ander wys na ’n gasheeradres waarvan die poort in ’n houernetwerk gepubliseer is, waar ’n vertaalstap die verbinding aan ’n ander IP oorhandig. Op ’n eweknie-tot-eweknie-mesh wat plaaslike netwerktoegang met ’n toestemming per eweknie beheer, is daardie verskil die hele hersiening.

Die toestemming gaan oor die gasheer-eindpunt, die vertaling gaan oor Docker, en die aanmelding gaan oor die toepassing. Drie besluite, drie plekke om te kyk.

Volg die bestemming ná publikasie

Neem ’n Linux-Docker-gasheer wat ’n houer se poort 80 op gasheerpoort 8080 publiseer. ’n Eweknie verbind aan die gasheer se mesh-adres op 8080, die gasheer aanvaar die verbinding, en ’n bestemmingsvertaling herskryf dit na die houer se brugadres, tipies iets soos 172.17.0.2 op poort 80.

Teen die tyd dat ’n reël daardie vloei ondersoek, is die interessante bestemming die houer, nie die gasheer nie. ’n Beleid wat net oor “’n diens op hierdie masjien” redeneer, redeneer oor die verkeerde objek. Die versoek het op die gasheer beland, maar dit word elders afgelewer.

Daarom lys die mesh-dokumentasie Docker-houers onder die hulpbronne wat plaaslike netwerktoestemming op Linux beheer. Die toestemming is nie ’n sinoniem vir ’n gewone VPN-toelaatlys-inskrywing nie, en die twee beheermaatreëls vervang mekaar nie. Die een besluit of ’n eweknie plaaslike hulpbronne hoegenaamd mag bereik; die ander besluit watter bestemmings ’n tonnelroete dra.

Besluit hoeveel plaaslike toegang ’n toestemming verleen

Om plaaslike netwerktoegang aan ’n eweknie te verleen, is nie ’n besluit oor een enkele houer nie. Dit kan ander gepubliseerde dienste op dieselfde gasheer blootlê, en dit kan verder reik, afhangend van hoe die gasheer aanstuur. Hersien die effektiewe omvang voordat jy die skakelaar vir een paneelbord klik.

Kyk dan waar Docker die poort publiseer. ’n Publikasie op 0.0.0.0 skep ’n luisteraar op elke gasheeradres, wat ’n gewone LAN-inskrywing langs die mesh een kan byvoeg. As die vereiste slegs mesh is, bind die publikasie aan die spesifieke adres of koppelvlak wat jy beoog, en behandel die wyer binding as ’n aparte bevinding eerder as ’n gerief.

Hou die gasheer se aanstuurbeleid en die toepassing se eie verifikasie nou genoeg vir die diens. ’n URL wat privaat lyk, is nie ’n toegangsbeheer nie, en ’n houer wat elke bron op sy brugnetwerk vertrou, word nie beskerm deur die feit dat die mesh-eweknie goedgekeur is nie. Die toepassing se verifikasie is die derde besluit, en dit is die enigste een wat weet wie die gebruiker is. ’n Toestemming op gasheervlak kan daardie kennis nie verskaf nie.

Toets die toestemming, nie net die URL nie

Open vanaf die goedgekeurde eweknie die presiese diens en bevestig dat dit werk. Probeer dan ’n bestemming wat geweier behoort te bly en bevestig dat dit nie werk nie. Om net die gelukkige pad te toets, sê vir jou die toestemming is verleen; dit sê nie die grens is waar jy dink dit is nie.

Vergelyk ’n gasheer-eie diens afsonderlik. As ’n databasis op die gasheer luister en ’n paneelbord in ’n houer loop, volg hulle verskillende paaie deur dieselfde toestemming en word hulle moontlik nie identies deur die gasheer se aanstuurbeleid beheer nie. Teken aan watter een watter is voordat jy die hersieningsnota skryf.

Moenie Docker se tabelle of die mesh-kliënt se reëls spoel om toegang te “herstel” nie. Beide produkte installeer hul eie beleidsintegrasie, en om dit te verwyder lewer ’n gasheer wat werk terwyl dit die beheermaatreëls omseil wat jy moes evalueer. As ’n reël verkeerd lyk, lees dit en verander daardie een reël. As jy nie kan verduidelik wat ’n reël doen nie, is dit die bevinding, nie ’n rede om dit te skrap nie.

Skryf die bevinding in die stelsel se eie terme

Wat saak maak, is die onderskeid wat die produk werklik afdwing, nie die een in die hersieningsjabloon nie: toestemming om ’n gasheer-eindpunt te bereik, toestemming om gerouteerde private hulpbronne te bereik, en toestemming om die toepassing te gebruik. Om ’n poort te publiseer laat daardie drie besluite presies waar hulle was, en ’n hersieners wat hulle as een behandel, sal die verkeerde omvang goedkeur.

Noem die gasheeradres, die gepubliseerde poort, die houerbestemming en die eweknie-toestemming in dieselfde sin. Daardie sin is deur iemand anders toetsbaar, en dit is wat dit ’n bevinding maak eerder as ’n mening.