पोर्टों के बीच की फ़ायरवॉल होस्ट की सीमा नहीं है

वेबसाइट 443 पर जवाब देती है, VPN 1194 पर जवाब देता है, फ़ायरवॉल ठीक उन दो को अनुमति देती है, और समीक्षा पास हो जाती है। उस क्रम में किसी ने नहीं पूछा कि वेब वर्कर क्या पढ़ सकता है या कौन-सी फ़ाइलें फिर से लिख सकता है। समझौता किए गए वर्कर को खुले पोर्ट की ज़रूरत नहीं होती अगर वह किसी नियंत्रण सॉकेट या लिखने योग्य कॉन्फ़िग निर्देशिका तक पहुँच सके। सीमा अधिकार है, और श्रोता केवल वही हिस्सा हैं जिन्हें देखना आसान है।

अलग सेवा नाम एक लेबल है; अलग पहचान एक सुरक्षा गुण है।

वर्कर का अधिकार गिनें, पोर्ट नहीं

रनटाइम उपयोगकर्ता, उसके समूह, उसकी क्षमताएँ और उसका फ़ाइलसिस्टम दृश्य से शुरू करें। जो सेवा खाता संयोग से किसी VPN समूह में है, वह किसी भी पोर्ट के खुले बिना कुंजी सामग्री पढ़ सकता है। लिखने योग्य माउंट दूसरा आधा हिस्सा हैं: अपलोड और कैश नीति फ़ाइलों तथा रहस्यों से दूर रहने चाहिए, और अनावश्यक रूप से साझा लिखने योग्य निर्देशिका सुव्यवस्थित नामकरण को विफल कर देती है। जो प्रक्रिया यह कार्रवाई करेगी उसे जाँचें, क्योंकि एक विशेषाधिकार प्राप्त जनक और बिना विशेषाधिकार वाले वर्कर एक ही अधिकार साझा नहीं करते।

डेमॉन शुरू होते समय VPN कुंजी पढ़ी जा सकती है, इसका अर्थ यह नहीं कि वेब वर्कर को उसकी ज़रूरत है। डेमॉन जो पढ़ता है उसे एप्लिकेशन को दी गई पहुँच से अलग करें।

वे सॉकेट जो दिखने से अधिक देते हैं

कुछ एंडपॉइंट मेट्रिक फ़ीड के वेश में प्रशासनिक API हैं। VPN का प्रबंधन इंटरफ़ेस सत्र बदल सकता है, क्लाइंट डिस्कनेक्ट कर सकता है और स्थिति पढ़ सकता है। कंटेनर रनटाइम सॉकेट से भी व्यापक है: उस तक पहुँच वास्तव में होस्ट नियंत्रण है, वेब एप्लिकेशन की ज़रूरत से बहुत आगे। इनमें से कोई सामान्य एप्लिकेशन के माउंट सेट में नहीं आता, और सुनने वाले पोर्ट गिनने पर कोई दिखता भी नहीं।

प्रबंधन श्रोता को स्थानीय पते से बाँधना एक शुरुआत है, पूरा प्रतिबंध नहीं, क्योंकि उस पते तक का हर प्रवेश मार्ग अभी भी मायने रखता है। केवल इच्छित स्रोतों और इंटरफ़ेसों को अनुमति दें।

कंटेनर एक कर्नेल साझा करते हैं

कंटेनर प्रक्रिया, फ़ाइलसिस्टम और नेटवर्क की सीमाएँ जोड़ते हैं, और वे होस्ट के साथ एक कर्नेल साझा करते हैं। इससे क्षमता के चयन, होस्ट माउंट और डेमॉन पहुँच निर्णायक हो जाते हैं: होस्ट के रहस्य माउंट करना या विशेषाधिकार प्राप्त रनटाइम नियंत्रण देना उस सीमा को मिटा देता है जिसका संकेत कंटेनर लेबल देता है। अलग VM वास्तव में अलग अतिथि कर्नेल देते हैं, जबकि हाइपरवाइज़र, प्रशासनिक पहचान, संग्रहण और बैकअप साझा रहते हैं। वह सीमा चुनें जिसका कॉन्फ़िगरेशन और अपडेट एक नामित स्वामी के पास हैं।

जिस अधिक जटिल व्यवस्था को कोई बनाए नहीं रखता, वह उस सरल व्यवस्था से बुरी है जिसकी वास्तव में समीक्षा होती है।

पहले इनकार जाँचें, फिर सेवा

वर्कर के वास्तविक संदर्भ में स्वीकृत जाँचों का उपयोग करके पुष्टि करें कि वह VPN नीति बदल नहीं सकता, अनावश्यक रहस्य पढ़ नहीं सकता या प्रबंधन इंटरफ़ेस को छू नहीं सकता। व्यवस्थापक के रूप में सफल पढ़ाई उस इनकार के बारे में कुछ भी नहीं जाँचती। फिर वेबसाइट, एक सामान्य अनुमत VPN क्रिया, और पुनःआरंभ पर हर एक के साथ क्या होता है, सत्यापित करें। ऐसा पुनर्प्राप्ति मार्ग रखें जो VPN के मरम्मत पर निर्भर न हो, ताकि गलती पुनर्प्राप्य रहे।

दोनों भूमिकाएँ अब भी CPU, मेमोरी, अपलिंक क्षमता और रखरखाव घटनाएँ साझा करती हैं। वे साझा संसाधन योजना में आते हैं, तब भी जब अधिकार की सीमा स्वच्छ हो।

दर्ज करें कि हर प्रक्रिया क्या कर सकती है, रुकने पर क्या विफल होता है, और कौन-सी सीमा साझा रहती है। पोर्ट की गिनती वह दर्ज नहीं है।