Порттор ортосундагы файрвол хосттун чеги эмес
Эки ачык порт жана бир файрвол эрежеси эң маанилүү бөлүгүн калтырат: веб-жумушчу эмнени окуп, эмнени башкара аларын. Кызматты гана эмес, баш тартууну да текшериңиз.
Веб-сайт 443тө жооп берет, VPN 1194тө жооп берет, файрвол так ушул экөөнө жол берет, жана кароо өтөт. Бул ырааттуулукта эч нерсе веб-жумушчу эмнени окуй аларын же кайсы файлдарды кайра жаза аларын сураган жок. Бузулган жумушчуга ачык порт керек эмес, эгер ал башкаруу сокетине же жазууга боло турган конфигурация папкасына жете алса. Чек — бул ыйгарым укук, ал эми угуучулар көрүүгө оңой бөлүк гана.
Өзүнчө кызмат аты — белги; өзүнчө инсандык — коопсуздук касиети.
Портторду эмес, жумушчунун ыйгарым укугун санаңыз
Иштетүү колдонуучусунан, анын топторунан, мүмкүнчүлүктөрүнөн жана файл тутумунун көрүнүшүнөн баштаңыз. Кокустан VPN тобуна кирген кызмат эсеби эч бир порт ачылбай эле ачкыч материалды окуй алат. Жазууга боло турган тиркемелер — экинчи жарымы: жүктөөлөр жана кэштер саясат файлдарынан жана сырлардан алыс турушу керек, ал эми ашыкча бөлүшүлгөн жазууга боло турган папка таза атоону жокко чыгарат. Операцияны аткаргыч процессти текшериңиз, анткени артыкчылыгы бар ата-процесс жана артыкчылыгы жок жумушчулар бир ыйгарым укукту бөлүшпөйт.
Демон ишке киргенде VPN ачкычынын окулушу веб-жумушчуга анын керек экенин билдирбейт. Демон жасаган окууну колдонмого берилген жетүүдөн бөлүңүз.
Көрүнгөнүнөн көбүрөөк берген сокеттер
Айрым четки чекиттер метрика агымынын кийимин кийген административдик APIлер. VPNдин башкаруу интерфейси сессияларды өзгөртүп, кардарларды ажыратып, абалды окуй алат. Контейнердин иштетүү чөйрөсүнүн сокети андан да кең: ага жетүү иш жүзүндө хостту башкаруу, веб-колдонмого керектүүдөн алда канча ашып түшөт. Экөө тең кадимки колдонмонун тиркемелер жыйындысына кирбейт жана угуп турган портторду санаганда экөө тең көрүнбөйт.
Башкаруу угуучусун жергиликтүү дарекке байлоо — башталыш, толук чектөө эмес, анткени ошол дарекке ар бир кирүү жолу дагы эле маанилүү. Көздөлгөн булактарга жана интерфейстерге гана жол бериңиз.
Контейнерлер бир өзөктү бөлүшөт
Контейнерлер процесс, файл тутуму жана тармак чектерин кошот, жана алар хост менен бир өзөктү бөлүшөт. Бул мүмкүнчүлүктөрдү тандоону, хосттун тиркемелерин жана демонго жетүүнү чечүүчү кылат: хосттун сырларын тиркөө же артыкчылыгы бар иштетүү көзөмөлүн берүү контейнер белгиси кыйыткан чекти жок кылат. Өзүнчө VMлер чынында өзүнчө конок өзөктөрүн берет, ал эми гипервизор, административдик инсандыктар, сактоо жана камдык көчүрмөлөр жалпы бойдон калат. Конфигурациясы жана жаңыртуулары аталган ээси бар чекти тандаңыз.
Эч ким байкабаган татаал түзүлүш чындап каралган жөнөкөйдөн жаман.
Алгач баш тартууну, анан кызматты текшериңиз
Жумушчунун чыныгы контекстинде бекитилген текшерүүлөрдү колдонуп, анын VPN саясатын өзгөртө албастыгын, ашыкча сырларды окуй албастыгын жана башкаруу интерфейсине тийе албастыгын ырастаңыз. Администратор катары ийгиликтүү окуу бул баш тартуу жөнүндө эч нерсе текшербейт. Андан кийин веб-сайтты, уруксат берилген кадимки VPN операциясын жана кайра иштетүүдө ар бирине эмне болорун текшериңиз. VPNди оңдоого көз каранды эмес калыбына келтирүү жолун сактаңыз, ката калыбына келе турган бойдон калсын.
Эки роль тең дагы эле CPU, эстутум, өйдө канал сыйымдуулугу жана тейлөө окуяларын бөлүшөт. Бул жалпы ресурстар ыйгарым укук чеги таза болгондо да планга кирет.
Ар бир процесс эмне кыла аларын, токтогондо эмне иштебей каларын жана кайсы чек жалпы бойдон каларын жазыңыз. Порт саны бул жазуу эмес.