Порттар арасындағы файрвол хост шекарасы емес

Веб-сайт 443-те жауап береді, VPN 1194-те жауап береді, файрвол дәл осы екеуіне рұқсат береді, шолу өтеді. Бұл реттілікте ешнәрсе веб-жұмысшы нені оқи алатынын немесе қандай файлдарды қайта жаза алатынын сұрамады. Бұзылған жұмысшыға ашық порт қажет емес, егер ол басқару сокетіне немесе жазуға болатын конфигурация қалтасына жете алса. Шекара — бұл өкілеттік, ал тыңдаушылар тек көруге оңай бөлік.

Бөлек қызмет атауы — жапсырма; бөлек сәйкестік — қауіпсіздік қасиеті.

Порттарды емес, жұмысшының өкілеттігін санаңыз

Іске қосу пайдаланушысынан, оның топтарынан, мүмкіндіктерінен және файл жүйесінің көрінісінен бастаңыз. Кездейсоқ VPN тобына жататын қызмет тіркелгісі ешбір порт ашылмай-ақ кілт материалын оқи алады. Жазуға болатын тіркеулер — екінші жартысы: жүктеулер мен кэштер саясат файлдары мен құпиялардан алыс тұруы керек, ал артық бөлісілген жазуға болатын қалта ұқыпты атауды жояды. Операцияны орындайтын процесті тексеріңіз, өйткені артықшылығы бар ата-процесс пен артықшылығы жоқ жұмысшылар бір өкілеттікті бөліспейді.

Демон іске қосылғанда VPN кілтінің оқылуы веб-жұмысшыға оның қажет екенін білдірмейді. Демон жасайтын оқуды қосымшаға берілген рұқсаттан бөліңіз.

Көрінгенінен артық беретін сокеттер

Кейбір шеткі нүктелер метрика ағынының киімін киген әкімшілік API-лер. VPN-тің басқару интерфейсі сессияларды өзгерте, клиенттерді ажырата және күйді оқи алады. Контейнердің іске қосу ортасының сокеті одан да кең: оған рұқсат іс жүзінде хостты басқару, веб-қосымшаға қажеттен әлдеқайда асып түседі. Екеуі де қарапайым қосымшаның тіркеу жиынына жатпайды және тыңдап тұрған порттарды санағанда екеуі де көрінбейді.

Басқару тыңдаушысын жергілікті мекенжайға байлау — бастама, толық шектеу емес, себебі сол мекенжайға әрбір кіру жолы маңызды болып қалады. Тек көзделген көздер мен интерфейстерге рұқсат етіңіз.

Контейнерлер бір ядроны бөліседі

Контейнерлер процесс, файл жүйесі және желі шекараларын қосады, олар хостпен бір ядроны бөліседі. Бұл мүмкіндіктер таңдауын, хост тіркеулерін және демонға рұқсатты шешуші етеді: хост құпияларын тіркеу немесе артықшылығы бар іске қосу бақылауын беру контейнер жапсырмасы меңзейтін шекараны жояды. Бөлек VM-дер шынымен бөлек қонақ ядроларын береді, ал гипервизор, әкімшілік сәйкестіктер, сақтау және резервтік көшірмелер ортақ болып қалады. Конфигурациясы мен жаңартулары аталған иесі бар шекараны таңдаңыз.

Ешкім күтпейтін күрделірек құрылым шынымен қаралатын қарапайымнан нашар.

Алдымен бас тартуды, содан кейін қызметті тексеріңіз

Жұмысшының нақты контекстінде мақұлданған тексерулерді қолданып, оның VPN саясатын өзгерте алмайтынын, артық құпияларды оқи алмайтынын және басқару интерфейсіне тие алмайтынын растаңыз. Әкімші ретінде сәтті оқу бұл бас тарту туралы ештеңе тексермейді. Содан кейін веб-сайтты, рұқсат етілген қарапайым VPN операциясын және қайта іске қосқанда әрқайсысына не болатынын тексеріңіз. VPN-ті жөндеуге тәуелді емес қалпына келтіру жолын сақтаңыз, қате қалпына келетін болып қалсын.

Екі рөл де әлі де CPU, жады, жоғары арна сыйымдылығы және техникалық қызмет көрсету оқиғаларын бөліседі. Бұл ортақ ресурстар өкілеттік шекарасы таза болған кезде де жоспарға кіреді.

Әр процестің не істей алатынын, тоқтағанда не істен шығатынын және қай шекара ортақ болып қалатынын жазыңыз. Порт саны бұл жазба емес.