Портуудын хоорондох галт хана нь хост хил биш
Хоёр нээлттэй порт, нэг галт ханы дүрэм хамгийн чухал хэсгийг орхидог: вэб ажилтан юу унших, юуг удирдах боломжтой вэ. Зөвхөн үйлчилгээг бус татгалзлыг шалгаарай.
Вэб сайт 443 дээр хариулж, VPN 1194 дээр хариулж, галт хана яг энэ хоёрыг нэвтрүүлж, хяналт давна. Тэр дараалалд вэб ажилтан юу уншиж болох, аль файлыг дахин бичиж болохыг юу ч асуугаагүй. Халдлагад өртсөн ажилтанд нээлттэй порт хэрэггүй, хэрэв тэр удирдлагын сокет эсвэл бичих боломжтой тохиргооны хавтаст хүрч чадвал. Хил бол эрх мэдэл, сонсогчид бол зөвхөн харахад хялбар хэсэг.
Тусдаа үйлчилгээний нэр бол шошго; тусдаа таних тэмдэг бол аюулгүй байдлын шинж чанар.
Портуудыг биш, ажилтны эрх мэдлийг тоол
Ажиллуулах хэрэглэгч, түүний бүлгүүд, чадвар, файлын системийн харагдац эхлэл болго. Санамсаргүйгээр VPN бүлэгт хамаарах үйлчилгээний бүртгэл нэг ч порт нээлттэй байхгүйгээр түлхүүрийн материал уншиж чадна. Бичих боломжтой холбох цэгүүд нь нөгөө хагас: байршуулалт болон кэш нь бодлогын файл болон нууцаас хол байх ёстой, шаардлагагүйгээр хуваалцсан бичих боломжтой хавтас цэвэрхэн нэршилийг унагана. Үйлдлийг гүйцэтгэх процессыг шалга, учир нь эрх мэдэлтэй эцэг процесс болон эрх мэдэлгүй ажилчид нэг эрх мэдлийг хуваалцдаггүй.
Демон эхлэх үед VPN түлхүүр уншигдах боломжтой байна гэдэг нь вэб ажилтанд хэрэгтэй гэсэн үг биш. Демоны хийдэг уншилтыг програмын авсан хандалтаас тусгаарла.
Харагдахаас илүү өгдөг сокетууд
Зарим төгсгөлийн цэгүүд нь метрикийн урсгалын дүр хувцастай захиргааны API юм. VPN-ийн удирдлагын интерфейс сесс өөрчилж, клиентийг салгаж, төлөв уншиж чадна. Контейнерийн ажиллуулах орчны сокет бүр ч өргөн: түүнд хандах нь бодитоор хост удирдах, вэб програмд хэрэгтэйгээс хамаагүй давсан. Аль нь ч энгийн програмын холбох багцад хамаарахгүй, аль нь ч сонсож буй портуудыг тоолоход харагдахгүй.
Удирдлагын сонсогчийг локал хаягт холбох нь эхлэл, бүрэн хязгаарлалт биш, учир нь тэр хаяг руу орох бүх зам чухал хэвээр. Зөвхөн зорьсон эх сурвалж, интерфейст зөвшөөрөл өг.
Контейнерууд нэг цөмийг хуваалцдаг
Контейнерууд процесс, файлын систем, сүлжээний хилийг нэмдэг бөгөөд тэд хосттой нэг цөмийг хуваалцдаг. Энэ нь чадварын сонголт, хостийн холболт, демон руу хандахыг шийдвэрлэхүйц болгодог: хостийн нууцыг холбох эсвэл эрх мэдэлтэй ажиллуулах хяналт өгөх нь контейнерийн шошго санал болгож буй хилийг арилгадаг. Тусдаа VM нь үнэхээр тусдаа зочны цөм өгдөг бол гипервизор, захиргааны таних тэмдэг, хадгалалт, нөөц хуулбар нь хуваалцсан хэвээр үлддэг. Тохиргоо, шинэчлэлт нь нэрлэсэн эзэнтэй хилийг сонго.
Хэн ч арчлахгүй илүү төвөгтэй зохион байгуулалт нь үнэхээр хянагддаг энгийнээс дор.
Эхлээд татгалзлыг, дараа нь үйлчилгээг шалга
Ажилтны бодит нөхцөлд зөвшөөрөгдсөн шалгалтыг ашиглан тэр VPN бодлогыг өөрчилж, шаардлагагүй нууц уншиж, удирдлагын интерфейст хүрч чадахгүйг батал. Администратороор амжилттай унших нь тэр татгалзлын талаар юу ч шалгахгүй. Дараа нь вэб сайт, зөвшөөрөгдсөн энгийн VPN үйлдэл, дахин эхлүүлэхэд тус бүрд нь юу болохыг шалга. VPN-ийг засахаас хамааралгүй сэргээх зам хадгал, алдаа засагдах боломжтой хэвээр үлдэхийн тулд.
Хоёр дүр нь CPU, санах ой, дээш сувгийн багтаамж, засвар үйлчилгээний үйл явдлыг хуваалцсаар байна. Эрх мэдлийн хил цэвэр байсан ч тэдгээр хуваалцсан нөөц төлөвлөгөөнд багтана.
Процесс бүр юу хийж чадах, зогсвол юу бүтэлгүйтэх, аль хил хуваалцсан хэвээр үлдэхийг тэмдэглэ. Портын тоо нь тэр тэмдэглэл биш.