Meshnet, Docker an d’Erlaabnes dertëschent

Zwee URL kënnen aus dem Browser vun engem Peer identesch ausgesinn an trotzdem ganz verschidde Saachen fir d’Firewall bedeiten. Dee eng weist op e Service, deen um Host selwer lauschtert. Dee anere weist op eng Hostadress, deenen hir Port an e Container-Netzwierk publizéiert ass, wou e Iwwersetzungsschrëtt d’Verbindung un eng aner IP iwwergëtt. An engem Peer-zu-Peer-Mesh, deen den Zougang zum lokalen Netzwierk mat enger Erlaabnes pro Peer kontrolléiert, ass dee vum Enn d’ganz Iwwerpréiwung.

D’Erlaabnes ass vum Host-Endpunkt, d’Iwwersetzung ass vum Docker an d’Aloggen ass vun der Applikatioun. Dräi Entscheedungen, dräi Plazen ze kucken.

Verfollegt d’Destinatioun no der Publikatioun

Huelt e Linux-Docker-Host, deen de Port 80 vun engem Container um Hostport 8080 publizéiert. E Peer verbënnt sech mat der Mesh-Adress vum Host op 8080, den Host akzeptéiert d’Verbindung, an eng Destinatiounsiwwersetzung schreift se op d’Bréckadress vum Container ëm, typesch eppes wéi 172.17.0.2 um Port 80.

Bis eng Regel dee Floss iwwerpréift, ass d’interessant Destinatioun de Container, net den Host. Eng Politik, déi nëmmen iwwer «e Service op dëser Maschinn» raisonnéiert, raisonnéiert iwwer dat falscht Objet. D’Ufro ass um Host gelant, awer se gëtt soss anzwousch geliwwert.

Dofir zielt d’Mesh-Dokumentatioun Docker-Containeren zu de Ressourcen, déi d’Erlaabnes vum lokalen Netzwierk ënner Linux regléiert. D’Erlaabnes ass keen Synonym fir en normale Agang an enger VPN-Erlaabneslëscht, an déi zwou Kontrollen ersetzen sech net géigesäiteg. Déi eng decidéiert, ob e Peer iwwerhaapt lokal Ressourcen erreeche kann; déi aner decidéiert, wéi eng Destinatiounen eng getunnelte Route dréit.

Decidéiert, wéi vill lokalen Zougang eng Erlaabnes gëtt

Engem Peer Zougang zum lokalen Netzwierk ze ginn ass keng Entscheedung iwwer een eenzegen Container. Et kann aner publizéiert Servicer um selwechten Host blosleeën, an et kann weider goen, jee nodeem wéi den Host weiderleet. Kuckt de effektive Beräich un, ier Dir de Schalter fir een Dashboard dréckt.

Kuckt dann, wou Docker de Port publizéiert. Eng Publikatioun op 0.0.0.0 schaaft en Nolauschterer op all Hostadress, wat en normale LAN-Agang nieft deem vum Mesh ka bäisetzen. Wann d’Ufuerderung nëmmen de Mesh ass, bind d’Publikatioun un déi spezifesch Adress oder Interface, déi Dir mengt, a behandelt déi méi breet Bindung als eng getrennt Feststellung an net als eng Bequemlechkeet.

Halt d’Weiderleeungspolitik vum Host an d’Authentifikatioun vun der Applikatioun selwer schmuel genuch fir de Service. Eng URL, déi privat ausgesäit, ass keng Zougangskontroll, an e Container, deen all Quell op sengem Bréckennetzwierk vertraut, ass net duerch d’Tatsaach geschützt, datt de Mesh-Peer genehmegt gouf. D’Authentifikatioun vun der Applikatioun ass déi drëtt Entscheedung, an se ass déi eenzeg, déi weess wien de Benotzer ass. Eng Erlaabnes op Hostniveau kann dat Wëssen net liwweren.

Test d’Erlaabnes, net nëmmen d’URL

Vum genehmegte Peer aus, maach de geneeë Service op a bestäteg, datt en funktionnéiert. Probéier dann eng Destinatioun, déi verweigert misst bleiwen, a bestäteg, datt se net funktionnéiert. Nëmmen de gléckleche Wee ze testen, seet Iech, datt d’Erlaabnes ginn ass; et seet Iech net, datt d’Grenz do ass, wou Dir mengt.

Vergläicht e host-eegene Service getrennt. Wann eng Datebank um Host lauschtert an en Dashboard an engem Container leeft, gi se verschidde Weeër duerch déiselwecht Erlaabnes a ginn vläicht net gläich vun der Weiderleeungspolitik vum Host regléiert. Notéiert, wat wat ass, ier Dir d’Iwwerpréiwungsnotiz schreift.

Leert net dem Docker seng Tabelen oder d’Regele vum Mesh-Client, fir den Zougang ze «resetéieren». Béid Produkter installéieren hir eegen Politiksintegratioun, an se ze läschen ergëtt en Host, dee schéngt ze funktionéieren, wärend en d’Kontrollen ëmgeet, déi Dir sollt evaluéieren. Wann eng Regel falsch ausgesäit, liest se a ännert just déi eng Regel. Wann Dir net erkläre kënnt, wat eng Regel mécht, ass dat d’Feststellung, net e Grond se ze läschen.

Schreift d’Feststellung an de Begrëffer vum System selwer

Wat zielt, ass den Ënnerscheed, deen d’Produkt tatsächlech duerchsetzt, net deen an der Iwwerpréiwungsvirlaag: Erlaabnes en Host-Endpunkt z’erreechen, Erlaabnes geroutet privat Ressourcen z’erreechen an Erlaabnes d’Applikatioun ze benotzen. E Port ze publizéieren léisst déi dräi Entscheedungen genau do, wou se waren, an en Iwwerpréiwer, deen se als eng behandelt, genehmegt de falsche Beräich.

Nennt d’Hostadress, de publizéierte Port, d’Destinatioun vum Container an d’Erlaabnes vum Peer am selwechte Saz. Dee Saz ass vun engem aneren testbar, an dat mécht en zu enger Feststellung an net zu enger Meenung.