Eng Firewall tëschent Porten ass keng Host-Grenz

D'Websäit äntwert op 443, de VPN äntwert op 1194, d'Firewall erlaabt genee déi zwou, an d'Iwwerpréiwung geet duerch. Näischt an där Reihenfolg huet gefrot, wat de Web-Aarbechter liese kann oder wéi eng Fichieren en iwwerschreiwe kann. En kompromittéierten Aarbechter brauch keen oppene Port, wann en e Kontroll-Socket oder en beschreifbare Konfiguratiounsverzeechnes erreeche kann. D'Grenz ass Autoritéit, an d'Lauschterer sinn nëmmen den Deel, deen een einfach gesäit.

En eegene Servicenumm ass en Etikett; eng eegen Identitéit ass eng Sécherheetseigenschaft.

Zielt d'Autoritéit vum Aarbechter, net d'Porten

Fänkt mam Laufzäit-Benotzer un, senge Gruppen, senge Fäegkeeten a senger Vue vum Dateiesystem. E Servicekont, deen zoufälleg zu enger VPN-Grupp gehéiert, kann Schlësselmaterial liesen, ouni datt ee Port op ass. Beschreifbar Montagen sinn déi aner Hallschent: Uploads a Caches solle wäit ewech vu Politiksfichieren a Geheimnisser leien, an en onnéideg gedeelt beschreifbaren Verzeechnes vereitelt eng propper Benennung. Kontrolléiert de Prozess, deen d'Operatioun ausféiere géif, well en privilegiéierte Papp an net-privilegiéiert Aarbechter deelen net eng Autoritéit.

Datt e VPN-Schlëssel beim Start vum Daemon liesbar ass, heescht net, datt de Web-Aarbechter en brauch. Trennt d'Liesen, dat den Daemon mécht, vum Zougang, deen d'Applikatioun kritt.

Sockets, déi méi ginn wéi se schéngen

Verschidden Endpunkte sinn administrativ APIen am Kostüm vun engem Metrik-Feed. D'Verwaltungsinterface vum VPN kann Sessiounen änneren, Clienten ofhänken an den Zoustand liesen. De Socket vun der Container-Laufzäit ass nach méi breet: den Zougang dozou ass praktesch Host-Kontroll, wäit iwwer dat, wat eng Webapplikatioun brauch. Keent vun deenen zwee gehéiert zum Montageset vun enger gewéinlecher Applikatioun, a keent erschéngt, wann een d'lauschterend Porte zielt.

En Verwaltungs-Lauschterer un eng lokal Adress bannen ass en Ufank, keng komplett Restriktioun, well all Ingangswee zu där Adress nach ëmmer wichteg ass. Erlaabt nëmmen déi virgesinn Quellen an Interfaces.

Container deelen ee Kernel

Container bäi Prozess-, Dateiesystem- a Netzwierkgrenzen, an si deelen ee Kernel mam Host. Dat mécht Fäegkeetsentscheedungen, Host-Montagen an Daemon-Zougang entscheedend: Host-Geheimnisser montéieren oder privilegiéiert Laufzäitkontroll ginn läscht d'Grenz, déi den Container-Etikett suggeréiert. Getrennte VMen ginn tatsächlech getrennt Gaascht-Kernele, wärend den Hypervisor, administrativ Identitéiten, Späicher a Backups gedeelt bleiwen. Wielt d'Grenz, deenen hir Konfiguratioun an Updates en genannten Eegentemer hunn.

Eng méi ausgefëmmt Anlag, déi keen ënnerhält, ass méi schlëmm wéi eng einfach, déi tatsächlech iwwerpréift gëtt.

Test d'Refus, dann de Service

Benotzt approuvéiert Kontrollen am reelle Kontext vum Aarbechter fir ze bestätegen, datt en d'VPN-Politik net änneren, net onnéideg Geheimnisser liesen an d'Verwaltungsinterface net beréiere kann. En erfollegräicht Lies als Administrateur testet näischt iwwer déi Refus. Verifizéiert duerno d'Websäit, eng gewéinlech erlaabt VPN-Operatioun, a wat mat jidwerer bei engem Neistart geschitt. Behaalt e Widderhierstellungswee, deen net dovun ofhängt, datt de VPN reparéiert gëtt, sou datt e Feeler reparabel bleift.

Déi zwou Rollen deelen nach ëmmer CPU, Späicher, Uplink-Kapazitéit a Maintenance-Evenementer. Déi gedeelt Ressourcen gehéieren zum Plang, och wann d'Autoritéitsgrenz propper ass.

Hält fest, wat all Prozess ka maachen, wat feelt, wann en ophält, a wéi eng Grenz gedeelt bleift. Portzuele sinn net déi Opzeechnung.