Laborategiko zerbitzari bat, hiru konfiantza-rol, hutsegite-eremu bat

Dena funtzionatzen du eraikuntza-exekutzaileak VPN gonbidatuak erabiltzen duen ostalari-socket bera behar duen arte, eta orduan inork ezin du azaldu zergatik lan batek atebidearen giltzak irakur ditzakeen. Dena makina bakarrean instalatu zen tokia zegoelako, eta gonbidatu bakoitzari sarbide zabala eman zitzaion funtzionarazteko modurik azkarrena zelako. Emaitza konfiantza-muga elikatze-kablea duen ostalari bat da. Rolak banatzea dirudien baino lan gutxiago da, eta haiek izendatzen hasten da.

Orain dena partekatzen duten hiru rol

VPN sarrera batek, zerbitzu pribatu multzo batek eta eraikuntza-exekutzaile batek gauza desberdinak nahi dituzte. Lehenengoak portu publiko bat eta sare estu bat behar ditu alde pribatuan. Bigarrenak biltegiratze iraunkorra eta aplikazio-sekretuak behar ditu. Hirugarrenak beste norbaitek idatzitako kodea exekutatzen du.

Hiru horiei sarbide bera ematea da sintoma nahasia egiten duena, orduan edozeinek besteengan eragin baitezake. Hiperbisorearen socketera iristen den eraikuntza-lan bat VPNa geldiaraz dezakeen lana da. Kudeaketa-sarerako bidea duen zerbitzu-gonbidatu batek switcharen konfigurazioa alda dezake. Pribilegioak dira arazoa, eta prozesu-zerrenda agertzen den lekua baino ez da. Rolak lehenengo izendatzeak pribilegio bakoitzari bizitzeko leku bat ematen dio.

Azpiko zirriborroa banaketa horren abiapuntua da, ez erabilgarritasun handiko promesa. Egiaztatzeko hipotesi gisa hartu, ez amaierako diseinu gisa.

Bereizi hiru rol, ez hiru prozesu

Ostalari batean hiru gonbidatuk hiru pribilegio-multzo eta hiru sare-posizio ematen dituzte. Ez dituzte hiru hutsegite-eremu ematen, eta diseinuak ozen esan beharko luke.

Bereizketak bakarrik laguntzen du gonbidatu bateko konpromisoak besteei automatikoki pribilegiorik ematen ez dienean, eta hori hiperbisorearen ezarpena da, ez izendapen-konbentzioa. VM bati atebide deitzeak ez dio beste gonbidatu bati ostalarira iristea eragozten. Irakurri switch birtualaren konfigurazioa ostalari-izenaren ordez, eta gero egiaztatu gonbidatu bakoitza uste duzun tokian dagoela.

host
├─ vpn-gw      10.60.10.2/24   public 51820/udp only
├─ services    10.60.0.10/24   no route to the management network
└─ ci-runner   10.60.20.2/24   outbound only, no host socket

Idatzi topologia eta gero egiaztatu hura duen tresnekin. Zubi okerrean agertzen den gonbidatua aurkikuntza da, ez xehetasuna. Zuzendu sarea edozein zerbitzu-konfigurazio aldatu aurretik.

Utzi VPN gonbidatuari bere ateak soilik irekitzen

Argitaratu tunelaren portua bideratzailean eta besterik ez. Gonbidatuen kudeaketa-portuak kudeaketa-bide batekoak dira, ez internetekoak, eta hiperbisorearen interfazea ere han dago.

Alde pribatuko sareak urruneko erabiltzaileek behar dituzten zerbitzuetara iritsi behar du eta han gelditu. Aplikazioaren autentifikazioa piztuta jarraitzen du, tunela garraioa baita, ez saioa hastekoa. Eutsi VPN gonbidatuaren bideratze-taulari esaldi batean deskribatzeko adina txiki. Ezin baduzu hain erraz deskribatu, muga lausotu da jada.

virsh net-list --all
virsh net-dumpxml lab-private
sudo nft list ruleset | grep -n -E '51820|10.60'

Ostalarian entzuten duen eta kudeaketarako behar ez den edozerk ez luke batere entzun behar. Horren barruan dago hiperbisorearen APIa, erraza baita interfaze publikoan agerian uztea.

Eraikuntza-lanek beste muga mota bat behar dute

CI lan batek biltegiak kontrolatutako komandoak exekutatzen ditu, beraz haren konfiantza kodea nor igotzen duen araberakoa da. Shell exekutzaile batek komando horiek exekutzailearen erabiltzaile gisa exekutatzen ditu ostalarian, eta hori da eskuragarri dagoen mugarik zabalena.

Edukiontzi-exekutzaileak estuagoak dira, eta edukiontzi pribilegiatu bat ez da estuenetakoa. Eutsi exekutzailea bere gonbidatuan, bere sare-eremuarekin, eta eman lanek behar duten artefaktu eta hedatze-sarbidea soilik. Langile erabilgarri-bakarrek atxikitako egoera gutxitzen dute; ez dute irisgarritasuna edo sekretuen agerpena gutxitzen. Biek muga esplizituak behar dituzte oraindik.

Zerbitzu-gonbidatuak datuak ditu, beraz haren babeskopia-planak funtzionatu behar du. Eutsi biltegiak, igoerak eta datu-basea ordutegi berean. Probatu berreskuratze bat lanaren egoera irakurri beharrean.

Planifikatu hirurek partekatzen duten hutsegitea

Ostalari bat hutsegite-eremu bat da. Berrabiarazteak tunela eta zerbitzu pribatu oro une berean kentzen ditu, eta orduan da sarbide bat gehien axola duen unea.

Mantendu VPN gonbidatuaren mende ez dagoen kontsola-sarbidea, kontsola fisikoa, banda kanpoko kudeaketa-interfazea edo hornitzailearen kontsola izan. Disko berean gordetako argazki bat ez da kopia independentea, eta babesten duen gonbidatuaren barruan exekutatzen den babeskopia ere ez. Gero probatu abio hotza sekuentzia gisa, ez zerrenda gisa: ostalaria, sare birtualak, tunelaren bidea eta kontu arrunt bateko aplikazio izendatu bat.

virsh list --all
systemctl is-active libvirtd
curl -sS -m 5 -o /dev/null -w '%{http_code}\n' https://10.60.0.10/
ss -ltnp | grep -E ':51820|:443'

Prozesuen hasiera-ordenak ezer ez du frogatzen bideei eta DNSari buruz, beraz probatu bidea, ez unitateen egoerak. Bidea da urruneko erabiltzaile batek benetan behar duena.