Meshnet, Docker eta bien arteko baimena
Sareko pare batek argitaratutako edukiontzi batera iristean hostaren baimena eta Dockerren itzulpena zeharkatzen ditu. Biak bereiz aztertu, bestela okerreko irismena onartuko duzu.
Bi URL berdinak izan daitezke pare baten arakatzailetik eta suebakiarentzat oso gauza desberdinak esan ditzakete. Batek hostean bertan entzuten duen zerbitzu bat seinalatzen du. Besteak portua edukiontzi-sare batean argitaratuta duen host helbide bat seinalatzen du, non itzulpen-urrats batek konexioa beste IP bati ematen dion. Pareen arteko sare batean, pare bakoitzeko baimen batekin sare lokalaren sarbidea kontrolatzen duenean, desberdintasun hori da berrikuspen osoa.
Baimena hostaren amaierako puntuari buruzkoa da, itzulpena Dockerri buruzkoa eta saio-hasiera aplikazioari buruzkoa. Hiru erabaki, begiratzeko hiru leku.
Jarraitu helmuga argitaratu ondoren
Hartu Linux Docker host bat, edukiontzi baten 80 portua hostaren 8080 portuan argitaratzen duena. Pare bat hostaren sare-helbidera konektatzen da 8080an, hostak konexioa onartzen du, eta helmugaren itzulpen batek edukiontziaren zubi-helbidera biridazten du, normalean 172.17.0.2 bezalako zerbait, 80 portuan.
Arau batek fluxu hori aztertzen duenerako, helmuga interesgarria edukiontzia da, ez hosta. «Makin honetako zerbitzu bat» besterik gogoeta egiten duen politikak objektu okerraren gainean egiten du gogoeta. Eskaera hostean lurreratu da, baina beste nonbait entregatzen ari da.
Horregatik zerrendatzen ditu sarearen dokumentazioak Docker edukiontziak Linuxen sare lokalaren baimenak gobernatzen dituen baliabideen artean. Baimena ez da VPN baimenduen zerrendako sarrera arrunt baten sinonimo, eta bi kontrolak ez dira elkar ordezkatzen. Batek pare batek baliabide lokaletara irits daitekeen ala ez erabakitzen du; besteak tunelatutako ibilbide batek zein helmuga daramatzan erabakitzen du.
Erabaki zenbat sarbide lokal ematen duen baimen batek
Pare bati sare lokalaren sarbidea ematea ez da edukiontzi bakarreko erabakia. Host berean argitaratutako beste zerbitzu batzuk agerian utz ditzake, eta urrunago irits daiteke hostak nola birbidaltzen duen arabera. Aztertu benetako irismena panel bakarrerako etengailua sakatu aurretik.
Gero begiratu non argitaratzen duen Dockerek portua. 0.0.0.0-n argitaratzeak entzule bat sortzen du host helbide bakoitzean, eta horrek LANeko sarrera arrunta gehi dezake sarekoaren ondoan. Baldintza sare hutsa bada, lotu argitalpena nahi duzun helbide edo interfaze zehatzera, eta tratatu lotura zabalagoa aurkikuntza bereizi gisa, erosotasun gisa beharrean.
Eduki itzazu hostaren birbidaltze-politika eta aplikazioaren autentifikazio propioa zerbitzuarentzat nahikoa estu. Itxura pribatua duen URL bat ez da sarbide-kontrola, eta zubi-sarean iturri guztietan fidatzen den edukiontzi bat ez dago babestuta sareko parea onartu izanaren ondorioz. Aplikazioaren autentifikazioa hirugarren erabakia da, eta erabiltzailea nor den dakien bakarra. Host mailako baimen batek ezin du jakintza hori eman.
Proba ezazu baimena, ez URL soilik
Onartutako paretik, ireki zerbitzu zehatza eta egiaztatu funtzionatzen duela. Gero proba itzazu ukatuta egon beharko lukeen helmuga bat eta egiaztatu ez duela funtzionatzen. Bide zoriontsua soilik probatzeak baimena eman zela esaten dizu; ez dizu esaten muga uste duzun tokian dagoenik.
Alderatu hosteko jatorrizko zerbitzu bat bereiz. Datu-base batek hostean entzuten badu eta panel bat edukiontzi batean exekutatzen bada, baimen beretik bide desberdinak egiten dituzte eta agian hostaren birbidaltze-politikak ez ditu berdin gobernatzen. Idatzi zein den zein berrikuspen-oharra idatzi aurretik.
Ez hustu Dockerren taulak edo sareko bezeroaren arauak sarbidea «berrezartzeko». Bi produktuek beren politika-integrazioa instalatzen dute, eta hura garbitzeak funtzionatzen duela dirudien host bat sortzen du, ebaluatzeko eskatu zizuten kontrolak saihestuz. Arau bat okerra dirudiela, irakurri eta aldatu arau hori soilik. Arau batek zer egiten duen azaldu ezin baduzu, hori da aurkikuntza, ez ezabatzeko arrazoia.
Idatzi aurkikuntza sistemaren beraren terminoetan
Garrantzitsua da produktuak benetan betearazten duen bereizketa, ez berrikuspen-txantiloikoarena: host amaierako puntu batera iristeko baimena, bideratutako baliabide pribatuetara iristeko baimena eta aplikazioa erabiltzeko baimena. Portu bat argitaratzeak hiru erabaki horiek zeuden lekuan bertan uzten ditu, eta bat bakartzat hartzen dituen berrikusleak okerreko irismena onartuko du.
Aipa host helbidea, argitaratutako portua, edukiontziaren helmuga eta parearen baimena esaldi berean. Esaldi hori beste norbaitek proba dezake, eta horrek egiten du aurkikuntza iritzia izan beharrean.