Porteen arteko suebakia ez da ostalariaren muga
Bi portu ireki eta suebaki-arau batek garrantzitsua dena kanpoan uzten dute: web-langileak zer irakurri eta kontrolatu dezakeen. Probatu ukoa, ez bakarrik zerbitzua.
Webguneak 443an erantzuten du, VPNak 1194an erantzuten du, suebakiak bi horiek soilik uzten ditu, eta berrikuspena gainditzen da. Segida horretan ezerk ez zuen galdetu web-langileak zer irakur dezakeen edo zein fitxategi berridatz ditzakeen. Konprometitutako langile batek ez du portu irekirik behar kontrol-socket batera edo idazteko moduko konfigurazio-direktorio batera iristen bada. Muga autoritatea da, eta entzuleak erraz ikusten den zatia baino ez dira.
Zerbitzu-izen bereizi bat etiketa bat da; identitate bereizi bat segurtasun-propietate bat da.
Zenbatu langilearen autoritatea, ez portuak
Hasi exekuzio-erabiltzailearekin, bere taldeekin, bere gaitasunekin eta fitxategi-sistemaren ikuspegiarekin. VPN talde batean kasualitatez dagoen zerbitzu-kontu batek gako-materiala irakur dezake porturik ireki gabe. Idazteko moduko muntaketak beste erdia dira: kargatzeak eta cacheak politikako fitxategietatik eta sekretuetatik urrun egon behar dute, eta beharrik gabe partekatutako idazteko moduko direktorio batek izendatze txukuna hondatzen du. Egiaztatu eragiketa egingo lukeen prozesua, guraso pribilegiatu batek eta langile ez-pribilegiatuek ez baitute autoritate bakarra partekatzen.
VPN gako bat daemonaren abiaraztean irakurgarria izateak ez du esan nahi web-langileak behar duenik. Bereizi daemonak egiten duen irakurketa aplikazioari ematen zaion sarbidetik.
Itxura baino gehiago ematen duten socketak
Zenbat amaierako puntu API administratiboak dira, metrika-jario baten mozorroarekin. VPNaren kudeaketa-interfazeak saioak alda ditzake, bezeroak deskonektatu eta egoera irakurri. Kontenedoreen exekuzio-inguruneko socketa are zabalagoa da: haren sarbidea ostalariaren kontrola da praktikan, web-aplikazio batek behar duena baino askoz harago. Ez bat ez bestea ez dira ohiko aplikazio baten muntaketa-multzoan sartzen, eta ez bat ez bestea ez dira agertzen entzuten ari diren portuak zenbatzean.
Kudeaketa-entzule bat tokiko helbide batera lotzea hasiera da, ez muga osoa, helbide horretarako sarrera-bide bakoitzak oraindik garrantzia baitu. Baimendu soilik aurreikusitako iturriak eta interfazeak.
Kontenedoreek nukleo bat partekatzen dute
Kontenedoreek prozesu-, fitxategi-sistema eta sare mugak gehitzen dituzte, eta nukleo bat partekatzen dute ostalariarekin. Horrek gaitasun-hautaketak, ostalariaren muntaketak eta daemonaren sarbidea erabakigarri egiten ditu: ostalariaren sekretuak muntatzeak edo exekuzio-kontrol pribilegiatua emateak kontenedorearen etiketak iradokitzen duen muga ezabatzen du. VM bereiziek ostalari nukleo bereiziak ematen dituzte, baina hipervisorea, identitate administratiboak, biltegiratzea eta segurtasun-kopiak partekatuta jarraitzen dute. Aukeratu konfigurazioak eta eguneratzeek jabe izendatua duten muga.
Inork mantentzen ez duen antolaketa landuago bat errebisatzen den sinple bat baino okerragoa da.
Probatu ukoa, gero zerbitzua
Erabili onartutako egiaztapenak langilearen benetako testuinguruan, egiaztatzeko ezin duela VPN politika aldatu, ez beharrezkoak ez diren sekretuak irakurri, ez kudeaketa-interfazea ukitu. Administratzaile gisa irakurketa arrakastatsuak ez du ezer probatzen uko horri buruz. Ondoren egiaztatu webgunea, baimendutako VPN eragiketa arrunta, eta bakoitzari berrabiaraztean zer gertatzen zaion. Gorde VPNa konpontzearen mende ez dagoen berreskuratze-bide bat, akatsa berreskuragarri gera dadin.
Bi rolek oraindik CPUa, memoria, gorako estekaren ahalmena eta mantentze-gertaerak partekatzen dituzte. Partekatutako baliabide horiek planean sartzen dira autoritate-muga garbia denean ere.
Erregistratu zer egin dezakeen prozesu bakoitzak, zer huts egiten duen gelditzen bada, eta zein muga geratzen den partekatuta. Portu-kontaketa ez da erregistro hori.