Meshnet, Docker en de tastimming dertusken

Twa URL’s kinne yn de browser fan in peer itselde lykje en dochs hiel ferskillende dingen foar de firewall betsjutte. De iene wiist nei in tsjinst dy’t op de host sels harket. De oare wiist nei in hostadres wêrfan’t de poarte yn in kontenernetwurk publisearre is, dêr’t in oersettingsstap de ferbining oan in oar IP oerdraacht. Op in peer-oant-peer-mesh dy’t tagong ta it lokale netwurk mei in tastimming per peer regelet, is dat ferskil de hiele beoardieling.

De tastimming giet oer it einpunt fan de host, de oersetting giet oer Docker, en de oanmelding giet oer de applikaasje. Trije besluten, trije plakken om te sjen.

Folgje de bestimming nei publikaasje

Nim in Linux-Docker-host dy’t de poarte 80 fan in kontener op hostpoarte 8080 publisearret. In peer ferbynt mei it mesh-adres fan de host op 8080, de host akseptearret de ferbining, en in bestimmingsoersetting skriuwt dy oer nei it brêgeadres fan de kontener, meastentiids eat as 172.17.0.2 op poarte 80.

Tsjin de tiid dat in regel dy stream ûndersiket, is de nijsgjirrige bestimming de kontener, net de host. In belied dat allinnich oer «in tsjinst op dizze masine» redenearret, redenearret oer it ferkearde objekt. It fersyk kaam op de host del, mar it wurdt earne oars levere.

Dêrom neamt de mesh-dokumintaasje Docker-konteners ûnder de boarnen dy’t de tastimming foar it lokale netwurk op Linux regelet. De tastimming is net in synonym foar in gewoane ynskriuwing yn de VPN-tastieningslist, en de twa kontrôles ferfange inoar net. De iene beslút oft in peer lokale boarnen hielendal berikke mei; de oare beslút hokker bestimmingen in tunnelrûte draacht.

Beslút hoefolle lokale tagong in tastimming jout

In peer tagong ta it lokale netwurk jaan is net in beslút oer ien kontener. It kin oare publisearre tsjinsten op deselde host bleatstelle, en it kin fierder reikje ôfhinklik fan hoe’t de host trochstjoert. Besjoch it effektive berik foardat jo de skeakel foar ien dashboard klikke.

Sjoch dan wêr’t Docker de poarte publisearret. In publikaasje op 0.0.0.0 makket in harker op elk hostadres, wat in gewoane LAN-ynskriuwing njonken de mesh-ien tafoegje kin. As de eask allinnich mesh is, bynt de publikaasje dan oan it spesifike adres of de ynterface dat jo bedoele, en behannelje de bredere bining as in aparte befinning ynstee fan in gemak.

Hâld it trochstjoerbelied fan de host en de eigen autentikaasje fan de applikaasje smel genôch foar de tsjinst. In URL dy’t privee liket is gjin tagongskontrôle, en in kontener dy’t elk boarne op syn brêgenetwurk fertrout is net beskerme troch it feit dat de mesh-peer goedkard is. De autentikaasje fan de applikaasje is it tredde beslút, en it is it iennige dat wit wa’t de brûker is. In tastimming op hostnivo kin dy kennis net leverje.

Test de tastimming, net allinnich de URL

Iepenje fan de goedkarde peer it krekte tsjinst en befêstigje dat it wurket. Probearje dan in bestimming dy’t wegere bliuwe moat en befêstigje dat it net wurket. Allinnich it lokkige paad testen fertelt jo dat de tastimming jûn is; it fertelt jo net dat de grins is wêr’t jo tinke.

Fergelykje in host-eigen tsjinst apart. As in databank op de host harket en in dashboard yn in kontener draait, folgje se ferskillende paden troch deselde tastimming en wurde se mooglik net itselde regele troch it trochstjoerbelied fan de host. Skriuw op hokker hokker is foardat jo de beoardielingsnotysje skriuwe.

Spoelje de tabellen fan Docker of de regels fan de mesh-klient net om tagong te «resetten». Beide produkten ynstallearje har eigen beliedsintegraasje, en it wiskjen dêrfan makket in host dy’t liket te wurkjen wylst it de kontrôles omgiet dy’t jo freegje om te evaluearjen. As in regel ferkeard liket, lês him en feroarje krekt dy regel. As jo net útlizze kinne wat in regel docht, is dat de befinning, net in reden om him te wiskjen.

Skriuw de befinning yn ’e termen fan it systeem sels

Wat telt is it ûnderskied dat it produkt feitlik hanthavent, net dat yn it beoardielingssjabloan: tastimming om in einpunt fan in host te berikken, tastimming om rûte privee boarnen te berikken, en tastimming om de applikaasje te brûken. In poarte publisearje lit dy trije besluten krekt wêr’t se wiene, en in beoardieler dy’t se as ien behannelet sil it ferkearde berik goedkrije.

Neam it hostadres, de publisearre poarte, de bestimming fan de kontener en de tastimming fan de peer yn deselde sin. Dy sin is troch in oar testber, en dat makket it in befinning ynstee fan in miening.