Meshnet, Docker og heimildin þar á milli

Tvö vefslóð geta litið eins út úr vafra jafnings og þó þýtt gjörólíka hluti fyrir eldvegginn. Önnur vísar á þjónustu sem hlustar á hýsilnum sjálfum. Hin vísar á hýsilheimild sem tengiport hennar er birt í gámaneti, þar sem þýðingarþrep afhendir tenginguna öðru IP-tölu. Í jafningjaneti sem stýrir aðgangi að staðarnetinu með heimild fyrir hvern jafningja er sá munur öll yfirferðin.

Heimildin snýst um endapunkt hýsisins, þýðingin snýst um Docker og innskráningin snýst um forritið. Þrjár ákvarðanir, þrír staðir til að skoða.

Fylgdu áfangastaðnum eftir birtingu

Taktu Linux Docker-hýsil sem birtir port 80 gáms á hýsilportinu 8080. Jafningi tengist netfangi hýsisins á 8080, hýsillinn tekur við tengingunni og þýðing áfangastaðar endurskrifar hana yfir í brúarheimi gámsins, venjulega eitthvað eins og 172.17.0.2 á porti 80.

Þegar regla skoðar þetta flæði er áhugaverði áfangastaðurinn gámurinn, ekki hýsillinn. Stefna sem rökstyður aðeins «þjónustu á þessari vél» rökstyður rangt hlut. Beiðnin lenti á hýsilnum, en henni er skilað annars staðar.

Þess vegna telur skjöl netsins Docker-gáma meðal þeirra auðlinda sem heimild staðarnetsins stýrir á Linux. Heimildin er ekki samheiti venjulegrar færslu á VPN-heimildalista og stýringarnar tvær koma ekki í stað hvors annars. Önnur ákvarðar hvort jafningi megi yfirhöfuð ná í staðbundnar auðlindir; hin ákvarðar hvaða áfangastaði gönguleið ber.

Ákveddu hversu mikinn staðbundinn aðgang heimild veitir

Að veita jafningja aðgang að staðarnetinu er ekki ákvörðun um einn gám. Það getur afhjúpað aðrar birtar þjónustur á sama hýsil og getur náð lengra eftir því hvernig hýsillinn sendir áfram. Farðu yfir raunverulegt umfang áður en þú ýtir á rofann fyrir eitt stjórnborð.

Horfðu svo á hvar Docker birtir portið. Birting á 0.0.0.0 býr til hlustanda á hverju hýsilfangi, sem getur bætt venjulegri LAN-færslu við hlið netfærslunnar. Ef krafan er aðeins netið, bindu birtinguna við það tiltekna fang eða viðmót sem þú átt við, og meðhöndlaðu víðtækari bindingu sem sérstaka niðurstöðu frekar en hagræði.

Haltu framsendingarstefnu hýsisins og eigin auðkenningu forritsins nógu þröngri fyrir þjónustuna. Vefslóð sem lítur út fyrir að vera einkaleg er ekki aðgangsstýring, og gámur sem treystir hverri uppsprettu á brúarnetinu sínu er ekki varinn af því að jafningi netsins var samþykktur. Auðkenning forritsins er þriðja ákvörðunin og sú eina sem veit hver notandinn er. Heimild á hýsilborði getur ekki veitt þá þekkingu.

Prófaðu heimildina, ekki bara vefslóðina

Frá samþykktum jafningja skaltu opna nákvæmu þjónustuna og staðfesta að hún virki. Prófaðu svo áfangastað sem ætti að vera áfram neitaður og staðfestu að hann virki ekki. Að prófa aðeins góðu leiðina segir þér að heimildin hafi verið veitt; það segir þér ekki að mörkin séu þar sem þú heldur.

Berðu saman þjónustu sem er innfædd hýsilnum sér. Ef gagnagrunnur hlustar á hýsilnum og stjórnborð keyrir í gámi fylgja þau mismunandi leiðum í gegnum sömu heimild og eru kannski ekki stýrð á sama hátt af framsendingarstefnu hýsisins. Skráðu hvað er hvað áður en þú skrifar yfirferðarnótuna.

Tæmdu ekki töflur Docker eða reglur netbiðlarans til að «endurstilla» aðgang. Báðar vörurnar setja upp sína eigin stefnusamþættingu, og að eyða henni framleiðir hýsil sem virðist virka á meðan hann fer fram hjá þeim stýringum sem þér var falið að meta. Ef regla lítur rangt út skaltu lesa hana og breyta einmitt þeirri reglu. Ef þú getur ekki útskýrt hvað regla gerir er það niðurstaðan, ekki ástæða til að eyða henni.

Skrifaðu niðurstöðuna í skilmálum kerfisins sjálfs

Það sem skiptir máli er sú greinarmun sem varan framfylgir í raun, ekki sú sem er í yfirferðarsniðmátinu: heimild til að ná í endapunkt hýsis, heimild til að ná í beintar einkaaðlindir og heimild til að nota forritið. Að birta port lætur þessar þrjár ákvarðanir vera nákvæmlega þar sem þær voru, og yfirferðarmaður sem meðhöndlar þær sem eina mun samþykkja rangt umfang.

Tilgreindu hýsilfangið, birta portið, áfangastað gámsins og heimild jafningsins í sömu setningu. Þá setningu getur einhver annar prófað, og það er það sem gerir hana að niðurstöðu frekar en skoðun.