Fajroŝirmilo inter pordoj ne estas limo de gastiganto
Du malfermitaj pordoj kaj unu fajroŝirmila regulo preterlasas la gravan parton: kion la reteja laboranto povas legi kaj regi. Testu la rifuzon, ne nur la servon.
La retejo respondas sur 443, la VPN respondas sur 1194, la fajroŝirmilo permesas ĝuste tiujn du, kaj la revizio pasas. Nenio en tiu sinsekvo demandis, kion la reteja laboranto povas legi aŭ kiujn dosierojn ĝi povas reskribi. Kompromitita laboranto ne bezonas malfermitan pordon, se ĝi povas atingi regan ingon aŭ skribeblan agordan dosierujon. La limo estas aŭtoritato, kaj aŭskultantoj estas nur la parto facile videbla.
Aparta serva nomo estas etikedo; aparta identeco estas sekureca eco.
Kalkulu la aŭtoritaton de la laboranto, ne la pordojn
Komencu per la plenumuzanto, ĝiaj grupoj, ĝiaj kapabloj kaj ĝia vidmaniero de la dosiersistemo. Serva konto, kiu hazarde apartenas al VPN-grupo, povas legi ŝlosilan materialon sen ke iu pordo estu malfermita. Skribeblaj muntadoj estas la alia duono: alŝutaĵoj kaj kaŝmemoroj devus stari malproksime de politikaj dosieroj kaj sekretoj, kaj senbezona kunhavata skribebla dosierujo detruas ordan nomadon. Kontrolu la procezon, kiu plenumus la operacion, ĉar privilegia patro kaj neprivilegiaj laborantoj ne kunhavas unu aŭtoritaton.
Tio, ke VPN-ŝlosilo estas legebla dum la lanĉo de la demono, ne signifas, ke la reteja laboranto bezonas ĝin. Apartigu la legadon faratan de la demono disde la aliro donata al la aplikaĵo.
Ingoj, kiuj donas pli ol ili ŝajnas
Iuj finpunktoj estas administraj API-oj vestitaj kiel metrika fluo. La administra interfaco de la VPN povas ŝanĝi sesiojn, malkonekti klientojn kaj legi staton. Ingo de kontenera plenummedio estas eĉ pli vasta: aliro al ĝi estas efektive regado de la gastiganto, multe preter tio, kion reteja aplikaĵo bezonas. Nek unu nek la alia apartenas al la muntaro de ordinara aplikaĵo, kaj nek unu nek la alia aperas, kiam vi kalkulas aŭskultajn pordojn.
Ligado de administra aŭskultanto al loka adreso estas komenco, ne kompleta limigo, ĉar ĉiu enira vojo al tiu adreso ankoraŭ gravas. Permesu nur la celitajn fontojn kaj interfacojn.
Konteneroj kunhavas unu kernon
Konteneroj aldonas limojn de procezo, dosiersistemo kaj reto, kaj ili kunhavas unu kernon kun la gastiganto. Tio igas kapablajn elektojn, gastigantajn muntadojn kaj demonan aliron decida: munti gastigantajn sekretojn aŭ doni privilegian plenumregadon forviŝas la limon, kiun la ujara etikedo sugestas. Apartaj VM-oj ja donas apartajn gastajn kernojn, dum la hipervizoro, administraj identecoj, konservado kaj savkopioj restas kunhavataj. Elektu la limon, kies agordo kaj ĝisdatigoj havas nomitan posedanton.
Pli ellaborita aranĝo, kiun neniu prizorgas, estas pli malbona ol simpla, kiu efektive reviziiĝas.
Testu la rifuzon, poste la servon
Uzu aprobitajn kontrolojn en la reala kunteksto de la laboranto por konfirmi, ke ĝi ne povas ŝanĝi VPN-politikon, legi senbezonajn sekretojn aŭ tuŝi la administran interfacon. Sukcesa legado kiel administranto testas nenion pri tiu rifuzo. Poste kontrolu la retejon, ordinaran permesitan VPN-operacion kaj kio okazas al ĉiu ĉe restartigo. Konservu reakiran vojon, kiu ne dependas de riparo de la VPN, por ke eraro restu riparebla.
Ambaŭ roloj ankoraŭ kunhavas CPU, memoron, supranligan kapaciton kaj prizorgajn eventojn. Tiuj kunhavataj rimedoj apartenas al la plano, eĉ kiam la aŭtoritata limo estas pura.
Notu, kion ĉiu procezo povas fari, kio fiaskas se ĝi haltas, kaj kiu limo restas kunhavata. Pordokalkuloj ne estas tiu noto.