In fjoermuorre tusken poarten is net in hostgrins
Twa iepen poarten en ien fjoermuorreregel litte it part weil dat der ta docht: wat de webwurker lêze en beheare kin. Test de wegering, net allinnich de tsjinst.
De webside antwurdet op 443, de VPN antwurdet op 1194, de fjoermuorre lit krekt dy twa troch, en de beoardieling slagget. Neat yn dy folchoarder frege wat de webwurker lêze kin of hokker bestannen er oerskriuwe kin. In kompromittearre wurker hat gjin iepen poarte nedich as er in behearsocket of in skriuwbere konfiguraasjemap berikke kin. De grins is gesach, en harkers binne allinnich it part dat maklik te sjen is.
In aparte tsjinstnamme is in label; in aparte identiteit is in feilichheidseigenskip.
Telle it gesach fan de wurker, net de poarten
Begjin mei de runtime-brûker, syn groepen, syn mooglikheden en syn werjefte fan it bestânsysteem. In tsjinstaccount dat tafallich by in VPN-groep heart, kin kaaimateriaal lêze sûnder dat in poarte iepen is. Skriuwbere mounten binne de oare helte: uploads en caches moatte fier fan beliedsbestannen en geheimen stean, en in ûnnedich dielde skriuwbere map ferneatiget in kreas nammejouwing. Kontrolearje it proses dat de operaasje dwaan soe, want in befoarrjochte âlder en net-befoarrjochte wurkers diele gjin ien gesach.
Dat in VPN-kaai by it starten fan de daemon lêsber is, betsjut net dat de webwurker dy nedich hat. Skied it lêzen dat de daemon docht fan de tagong dy't de applikaasje krijt.
Sockets dy't mear jouwe as se lykje
Guon einpunten binne administratyf API's yn it kostúm fan in metryske stream. De behearinterface fan de VPN kin sessys feroarje, klanten ôfbrekke en steat lêze. In socket fan de container-runtime is noch breder: tagong derta is effektyf hostbehear, fier boppe wat in webapplikaasje nedich hat. Net ien fan beide heart by de mountset fan in gewoane applikaasje, en net ien fan beide ferskynt as jo harkjende poarten telle.
In behearharker oan in lokale adres bine is in begjin, net in folsleine beheining, want elk yngongspaad nei dat adres docht der noch ta. Stean allinnich de bedoelde boarnen en interfaces ta.
Containers diele ien kernel
Containers foegje grinzen foar proses, bestânsysteem en netwurk ta, en se diele ien kernel mei de host. Dat makket karren foar mooglikheden, host-mounts en daemontagong beslissend: hostgeheimen mounte of befoarrjochte runtime-behear jouwe wisket de grins dy't it containerlabel suggerearret. Aparte VM's jouwe wol aparte gastkernels, wylst de hypervisor, administrative identiteiten, opslach en back-ups dield bliuwe. Kies de grins wêrfan de konfiguraasje en updates in neamde eigner hawwe.
In mear útwurke regeling dy't gjinien ûnderhâldt, is minner as in ienfâldige dy't echt beoardiele wurdt.
Test de wegering, dan de tsjinst
Brûk goedkearre kontrôles yn 'e echte kontekst fan de wurker om te befêstigjen dat er gjin VPN-belied feroarje, gjin ûnnedige geheimen lêze en de behearinterface net oanreitsje kin. In slagge lêzing as administrator test neat oer dy wegering. Ferifiearje dan de webside, in gewoane tastiene VPN-operaasje, en wat mei elk bart by in werstart. Bewarje in hersteldpaad dat net ôfhinklik is fan it reparearjen fan de VPN, sadat in flater werombrocht wurde kin.
Beide rollen diele noch CPU, ûnthâld, uplinkkapasiteit en ûnderhâldsbarren. Dy dielde boarnen hearre yn it plan, sels as de gesachsgrins skjin is.
Skriuw op wat elk proses dwaan kin, wat mislearret as it stopt, en hokker grins dield bliuwt. Poartetallen binne net dat ferslach.