Meshnet, Docker ja niiden välinen käyttöoikeus
Verkon vertaispiste, joka saavuttaa julkaistun kontin, ylittää isännän käyttöoikeuden ja Dockerin käännöksen. Tarkastele näitä kahta erikseen, muuten hyväksyt väärän laajuuden.
Kaksi URL-osoitetta voivat näyttää samoilta vertaispisteen selaimessa ja tarkoittaa palomuurille täysin eri asioita. Toinen osoittaa palveluun, joka kuuntelee itse isännässä. Toinen osoittaa isännän osoitteeseen, jonka portti on julkaistu konttiverkkoon, jossa käännösvaihe luovuttaa yhteyden toiselle IP-osoitteelle. Vertaisverkossa, joka valvoo paikallisverkon pääsyä jokaiselle vertaispisteelle myönnetyllä käyttöoikeudella, tuo ero on koko tarkastelu.
Käyttöoikeus koskee isännän päätepistettä, käännös koskee Dockeria ja kirjautuminen koskee sovellusta. Kolme päätöstä, kolme paikkaa katsoa.
Seuraa kohdetta julkaisun jälkeen
Ota Linux-Docker-isäntä, joka julkaisee kontin portin 80 isännän portissa 8080. Vertaispiste yhdistää isännän verkko-osoitteeseen portissa 8080, isäntä hyväksyy yhteyden ja kohdekäännös kirjoittaa sen uudelleen kontin siltay osoitteeseen, tyypillisesti jotain kuten 172.17.0.2 portissa 80.
Kun sääntö tarkastelee kyseistä virtaa, kiinnostava kohde on kontti, ei isäntä. Käytäntö, joka järkeilee vain «tämän koneen palvelusta», järkeilee väärästä objektista. Pyyntö laskeutui isäntään, mutta se toimitetaan muualle.
Siksi verkon dokumentaatio listaa Docker-kontit niiden resurssien joukkoon, joita paikallisverkon käyttöoikeus hallitsee Linuxissa. Käyttöoikeus ei ole synonyymi tavalliselle VPN:n sallittujen luettelon merkinnälle, eivätkä nämä kaksi valvontaa korvaa toisiaan. Toinen päättää, saako vertaispiste ylipäätään saavuttaa paikallisia resursseja; toinen päättää, mitä kohteita tunnelireitti kuljettaa.
Päätä, kuinka paljon paikallista pääsyä käyttöoikeus myöntää
Paikallisverkon pääsyn myöntäminen vertaispisteelle ei ole yhden kontin päätös. Se voi paljastaa muita julkaistuja palveluja samassa isännässä, ja se voi ulottua kauemmas riippuen siitä, miten isäntä välittää. Tarkastele tehokasta laajuutta ennen kuin napsautat yhden hallintapaneelin kytkintä.
Katso sitten, mihin Docker julkaisee portin. Julkaisu osoitteessa 0.0.0.0 luo kuuntelijan jokaiseen isännän osoitteeseen, mikä voi lisätä tavallisen LAN-merkinnän verkon merkinnän rinnalle. Jos vaatimus on vain verkko, sido julkaisu siihen tiettyyn osoitteeseen tai liitäntään, jonka tarkoitat, ja käsittele laajempaa sidontaa erillisenä havaintona, ei mukavuutena.
Pidä isännän välityskäytäntö ja sovelluksen oma todennus riittävän kapeina palvelulle. Yksityiseltä näyttävä URL ei ole pääsynvalvontaa, eikä kontti, joka luottaa kaikkiin lähteisiin siltäverkossaan, ole suojattu sillä, että verkon vertaispiste hyväksyttiin. Sovelluksen todennus on kolmas päätös, ja se on ainoa, joka tietää, kuka käyttäjä on. Isännän tason käyttöoikeus ei voi tarjota sitä tietoa.
Testaa käyttöoikeutta, älä vain URL-osoitetta
Avaa hyväksytystä vertaispisteestä täsmällinen palvelu ja vahvista, että se toimii. Kokeile sitten kohdetta, jonka pitäisi pysyä evättynä, ja vahvista, ettei se toimi. Vain onnellisen polun testaaminen kertoo, että käyttöoikeus myönnettiin; se ei kerro, että raja on siellä, missä luulet.
Vertaa isännän omaa palvelua erikseen. Jos tietokanta kuuntelee isännässä ja hallintapaneeli toimii kontissa, ne kulkevat eri polkuja saman käyttöoikeuden läpi, eikä isännän välityskäytäntö välttämättä hallitse niitä samalla tavalla. Kirjaa, mikä on mitä, ennen kuin kirjoitat tarkastelumuistion.
Älä tyhjennä Dockerin tauluja tai verkon asiakasohjelman sääntöjä «nollataksesi» pääsyä. Molemmat tuotteet asentavat oman käytäntöintegrationsa, ja sen poistaminen tuottaa isännän, joka näyttää toimivan mutta ohittaa ne valvonnat, jotka sinua pyydettiin arvioimaan. Jos sääntö näyttää väärältä, lue se ja muuta juuri sitä sääntöä. Jos et pysty selittämään, mitä sääntö tekee, se on havainto, ei syy poistaa sitä.
Kirjoita havainto järjestelmän omilla termeillä
Merkityksellistä on ero, jonka tuote tosiasiassa valvoo, ei tarkastelumallin ero: käyttöoikeus saavuttaa isännän päätepiste, käyttöoikeus saavuttaa reititetyt yksityiset resurssit ja käyttöoikeus käyttää sovellusta. Portin julkaiseminen jättää nuo kolme päätöstä täsmälleen sinne, missä ne olivat, ja tarkastelija, joka kohtelee niitä yhtenä, hyväksyy väärän laajuuden.
Mainitse isännän osoite, julkaistu portti, kontin kohde ja vertaispisteen käyttöoikeus samassa lauseessa. Tuo lause on toisen testattavissa, ja juuri se tekee siitä havainnon eikä mielipiteen.