પોર્ટ વચ્ચેનો ફાયરવોલ હોસ્ટ સીમા નથી

વેબસાઇટ 443 પર જવાબ આપે છે, VPN 1194 પર જવાબ આપે છે, ફાયરવોલ બરાબર એ બેને મંજૂરી આપે છે, અને સમીક્ષા પાસ થાય છે. એ ક્રમમાં કંઈએ પૂછ્યું નહીં કે વેબ વર્કર શું વાંચી શકે છે અથવા કઈ ફાઇલો ફરી લખી શકે છે. સમાધાન પામેલા વર્કરને ખુલ્લા પોર્ટની જરૂર નથી જો તે નિયંત્રણ સોકેટ કે લખી શકાય તેવી કન્ફિગ ડિરેક્ટરી સુધી પહોંચી શકે. સીમા એ અધિકાર છે, અને શ્રોતાઓ ફક્ત એ જ ભાગ છે જે જોવો સહેલો છે.

અલગ સેવા નામ એ લેબલ છે; અલગ ઓળખ એ સુરક્ષા ગુણધર્મ છે.

વર્કરનો અધિકાર ગણો, પોર્ટ નહીં

રનટાઇમ વપરાશકર્તા, તેના જૂથો, તેની ક્ષમતાઓ અને તેના ફાઇલસિસ્ટમ દૃશ્યથી શરૂ કરો. જે સેવા ખાતું આકસ્મિક રીતે VPN જૂથનું હોય તે કોઈ પોર્ટ ખુલ્લો ન હોવા છતાં કી સામગ્રી વાંચી શકે છે. લખી શકાય તેવા માઉન્ટ બીજો અડધો ભાગ છે: અપલોડ અને કેશ નીતિ ફાઇલો અને રહસ્યોથી દૂર રહેવા જોઈએ, અને બિનજરૂરી રીતે વહેંચાયેલ લખી શકાય તેવી ડિરેક્ટરી સુઘડ નામકરણને નિષ્ફળ બનાવે છે. જે પ્રક્રિયા આ ક્રિયા કરશે તેને ચકાસો, કારણ કે વિશેષાધિકાર પ્રાપ્ત પિતૃ અને વિશેષાધિકાર વગરના વર્કર એક જ અધિકાર વહેંચતા નથી.

ડેમન શરૂ થતી વખતે VPN કી વાંચી શકાય તેનો અર્થ એ નથી કે વેબ વર્કરને તેની જરૂર છે. ડેમન જે વાંચન કરે છે તેને એપ્લિકેશનને આપવામાં આવતી ઍક્સેસથી અલગ કરો.

દેખાવ કરતાં વધુ આપતા સોકેટ

કેટલાક એન્ડપોઇન્ટ મેટ્રિક ફીડના વેશમાં વહીવટી API છે. VPN નું મેનેજમેન્ટ ઇન્ટરફેસ સત્રો બદલી શકે, ગ્રાહકોને ડિસ્કનેક્ટ કરી શકે અને સ્થિતિ વાંચી શકે. કન્ટેનર રનટાઇમ સોકેટ વધુ વિશાળ છે: તેની ઍક્સેસ વાસ્તવમાં હોસ્ટ નિયંત્રણ છે, વેબ એપ્લિકેશનની જરૂર કરતાં ઘણું આગળ. બંનેથી એક પણ સામાન્ય એપ્લિકેશનના માઉન્ટ સેટમાં આવતું નથી, અને સાંભળતા પોર્ટ ગણતી વખતે એક પણ દેખાતું નથી.

મેનેજમેન્ટ શ્રોતાને સ્થાનિક સરનામાં સાથે બાંધવો એ શરૂઆત છે, સંપૂર્ણ પ્રતિબંધ નથી, કારણ કે તે સરનામા સુધીનો દરેક પ્રવેશ માર્ગ હજી મહત્ત્વનો છે. ફક્ત ઇચ્છિત સ્રોત અને ઇન્ટરફેસને મંજૂરી આપો.

કન્ટેનર એક કર્નલ વહેંચે છે

કન્ટેનર પ્રક્રિયા, ફાઇલસિસ્ટમ અને નેટવર્ક સીમાઓ ઉમેરે છે, અને તેઓ હોસ્ટ સાથે એક કર્નલ વહેંચે છે. તે ક્ષમતાની પસંદગી, હોસ્ટ માઉન્ટ અને ડેમન ઍક્સેસને નિર્ણાયક બનાવે છે: હોસ્ટ રહસ્યો માઉન્ટ કરવા અથવા વિશેષાધિકાર પ્રાપ્ત રનટાઇમ નિયંત્રણ આપવું એ કન્ટેનર લેબલ સૂચવે છે તે સીમા ભૂંસી નાખે છે. અલગ VM ખરેખર અલગ અતિથિ કર્નલ આપે છે, જ્યારે હાઇપરવાઇઝર, વહીવટી ઓળખ, સંગ્રહ અને બેકઅપ વહેંચાયેલા રહે છે. એ સીમા પસંદ કરો જેની રૂપરેખા અને અપડેટનો નામ આપેલ માલિક છે.

કોઈ સાચવે નહીં તેવી વધુ જટિલ ગોઠવણ ખરેખર સમીક્ષા થતી સાદી ગોઠવણ કરતાં ખરાબ છે.

પહેલા નકાર ચકાસો, પછી સેવા

વર્કરના વાસ્તવિક સંદર્ભમાં મંજૂર ચકાસણીઓનો ઉપયોગ કરીને પુષ્ટિ કરો કે તે VPN નીતિ બદલી શકતું નથી, બિનજરૂરી રહસ્યો વાંચી શકતું નથી કે મેનેજમેન્ટ ઇન્ટરફેસને સ્પર્શી શકતું નથી. વ્યવસ્થાપક તરીકે સફળ વાંચન એ નકાર વિશે કંઈ ચકાસતું નથી. પછી વેબસાઇટ, સામાન્ય મંજૂર VPN ક્રિયા અને પુનઃપ્રારંભ વખતે દરેક સાથે શું થાય છે તે ચકાસો. એવો પુનઃપ્રાપ્તિ માર્ગ રાખો જે VPN સુધારવા પર આધારિત ન હોય, જેથી ભૂલ પુનઃપ્રાપ્ય રહે.

બંને ભૂમિકાઓ હજી CPU, મેમરી, અપલિંક ક્ષમતા અને જાળવણી ઘટનાઓ વહેંચે છે. તે વહેંચાયેલા સંસાધનો અધિકાર સીમા સ્વચ્છ હોય ત્યારે પણ યોજનામાં આવે છે.

દરેક પ્રક્રિયા શું કરી શકે, અટકે તો શું નિષ્ફળ જાય અને કઈ સીમા વહેંચાયેલી રહે છે તે નોંધો. પોર્ટની ગણતરી એ નોંધ નથી.