Portlar arasındakı qoruyucu divar host sərhədi deyil

Veb sayt 443 portunda cavab verir, VPN 1194 portunda cavab verir, qoruyucu divar məhz bu ikisinə icazə verir və yoxlama keçir. Bu ardıcıllıqda heç nə veb işçinin nəyi oxuya bildiyini və ya hansı faylları yenidən yaza bildiyini soruşmadı. Sındırılmış işçinin açıq porta ehtiyacı yoxdur, əgər idarəetmə soketinə və ya yazıla bilən konfiqurasiya qovluğuna çata bilirsə. Sərhəd səlahiyyətdir, dinləyicilər isə yalnız görməsi asan olan hissədir.

Ayrı xidmət adı bir etiketdir; ayrı kimlik təhlükəsizlik xassəsidir.

Portları deyil, işçinin səlahiyyətini sayın

İşləmə istifadəçisindən, onun qruplarından, imkanlarından və fayl sistemi görünüşündən başlayın. Təsadüfən VPN qrupuna aid olan xidmət hesabı heç bir port açıq olmadan açar materialını oxuya bilər. Yazıla bilən qoşmalar digər yarıdır: yükləmələr və keşlər siyasət fayllarından və sirlərdən uzaq durmalıdır, lazımsız paylaşılan yazıla bilən qovluq isə səliqəli adlandırmanı puça çıxarır. Əməliyyatı yerinə yetirəcək prosesi yoxlayın, çünki imtiyazlı valideyn və imtiyazsız işçilər bir səlahiyyəti paylaşmır.

VPN açarının daemon işə düşərkən oxuna bilməsi veb işçinin ona ehtiyacı olduğu demək deyil. Daemonun etdiyi oxunuşu tətbiqə verilən girişdən ayırın.

Göründüyündən çox verən soketlər

Bəzi son nöqtələr metrika axınının libasını geyinmiş inzibati API-lərdir. VPN-in idarəetmə interfeysi sessiyaları dəyişə, müştəriləri ayıra və vəziyyəti oxuya bilər. Konteyner işləmə mühitinin soketi daha genişdir: ona giriş faktiki olaraq host nəzarətidir, veb tətbiqinin ehtiyacından qat-qat uzaqdır. Heç biri adi tətbiqin qoşma dəstinə aid deyil və heç biri dinləyən portları sayanda görünmür.

İdarəetmə dinləyicisini yerli ünvana bağlamaq başlanğıcdır, tam məhdudiyyət deyil, çünki həmin ünvana hər daxil olma yolu hələ də vacibdir. Yalnız nəzərdə tutulan mənbələrə və interfeyslərə icazə verin.

Konteynerlər bir nüvəni paylaşır

Konteynerlər proses, fayl sistemi və şəbəkə sərhədləri əlavə edir və hostla bir nüvəni paylaşır. Bu, imkan seçimlərini, host qoşmalarını və daemon girişini həlledici edir: host sirlərini qoşmaq və ya imtiyazlı işləmə nəzarəti vermək konteyner etiketinin təklif etdiyi sərhədi silir. Ayrı VM-lər ayrı qonaq nüvələri verir, halbuki hipervizor, inzibati kimliklər, yaddaş və ehtiyat nüsxələr paylaşılan qalır. Konfiqurasiyası və yeniləmələri adlı sahibi olan sərhədi seçin.

Heç kimin saxlamadığı daha mürəkkəb quruluş, həqiqətən yoxlanılan sadə quruluşdan pisdir.

Əvvəl imtinanı, sonra xidməti sınayın

İşçinin real kontekstində təsdiqlənmiş yoxlamalardan istifadə edərək onun VPN siyasətini dəyişə bilmədiyini, lazımsız sirləri oxuya bilmədiyini və idarəetmə interfeysinə toxuna bilmədiyini təsdiqləyin. Administrator kimi uğurlu oxunuş həmin imtina barədə heç nə sınamır. Sonra veb saytı, icazə verilən adi VPN əməliyyatını və yenidən başlatmada hər birinin başına gələni yoxlayın. VPN-in təmirindən asılı olmayan bərpa yolu saxlayın ki, səhv bərpa oluna bilsin.

Hər iki rol hələ də CPU, yaddaş, yuxarı kanal tutumu və texniki xidmət hadisələrini paylaşır. Bu paylaşılan resurslar səlahiyyət sərhədi təmiz olsa da plana aiddir.

Hər prosesin nə edə bildiyini, dayansa nəyin uğursuz olduğunu və hansı sərhədin paylaşılan qaldığını qeyd edin. Port sayları o qeyd deyil.