Tembok api antara port bukan sempadan hos

Laman web menjawab pada 443, VPN menjawab pada 1194, tembok api membenarkan tepat kedua-duanya, dan semakan lulus. Tiada apa dalam urutan itu bertanya apa yang boleh dibaca oleh pekerja web atau fail mana yang boleh ditulis semula. Pekerja yang terkompromi tidak memerlukan port terbuka jika ia boleh mencapai soket kawalan atau direktori konfigurasi yang boleh ditulis. Sempadan ialah kuasa, dan pendengar hanyalah bahagian yang mudah dilihat.

Nama perkhidmatan berasingan ialah label; identiti berasingan ialah sifat keselamatan.

Kira kuasa pekerja, bukan port

Mulakan dengan pengguna masa jalan, kumpulannya, keupayaannya dan pandangannya terhadap sistem fail. Akaun perkhidmatan yang kebetulan tergolong dalam kumpulan VPN boleh membaca bahan kunci tanpa mana-mana port terbuka. Lekapan yang boleh ditulis ialah separuh lagi: muat naik dan cache harus berada jauh daripada fail dasar dan rahsia, dan direktori boleh tulis yang dikongsi secara tidak perlu merosakkan penamaan yang kemas. Periksa proses yang akan melakukan operasi itu, kerana induk yang istimewa dan pekerja tanpa keistimewaan tidak berkongsi satu kuasa.

Kunci VPN boleh dibaca semasa daemon bermula tidak bermakna pekerja web memerlukannya. Pisahkan bacaan yang dilakukan daemon daripada akses yang diberikan kepada aplikasi.

Soket yang memberi lebih daripada yang kelihatan

Sesetengah titik akhir ialah API pentadbiran yang menyamar sebagai suapan metrik. Antara muka pengurusan VPN boleh menukar sesi, memutuskan sambungan klien dan membaca keadaan. Soket masa jalan kontena lebih luas lagi: akses kepadanya pada dasarnya ialah kawalan hos, jauh melebihi keperluan aplikasi web. Kedua-duanya tidak tergolong dalam set lekapan aplikasi biasa, dan kedua-duanya tidak muncul apabila anda mengira port yang mendengar.

Mengikat pendengar pengurusan kepada alamat tempatan ialah permulaan, bukan sekatan lengkap, kerana setiap laluan masuk ke alamat itu masih penting. Benarkan hanya sumber dan antara muka yang dimaksudkan.

Kontena berkongsi satu kernel

Kontena menambah sempadan proses, sistem fail dan rangkaian, dan ia berkongsi satu kernel dengan hos. Itu menjadikan pilihan keupayaan, lekapan hos dan akses daemon menentukan: melekap rahsia hos atau memberikan kawalan masa jalan istimewa memadamkan sempadan yang dicadangkan oleh label kontena. VM berasingan memang memberikan kernel tetamu berasingan, sementara hypervisor, identiti pentadbiran, storan dan sandaran kekal dikongsi. Pilih sempadan yang mempunyai pemilik bernama bagi konfigurasi dan kemas kininya.

Susunan yang lebih rumit yang tidak dijaga oleh sesiapa lebih buruk daripada yang mudah yang benar-benar disemak.

Uji penafian, kemudian perkhidmatan

Gunakan pemeriksaan yang diluluskan dalam konteks sebenar pekerja untuk mengesahkan bahawa ia tidak boleh mengubah dasar VPN, membaca rahsia yang tidak perlu atau menyentuh antara muka pengurusan. Bacaan berjaya sebagai pentadbir tidak menguji apa-apa tentang penafian itu. Kemudian sahkan laman web, operasi VPN biasa yang dibenarkan, dan apa yang berlaku kepada setiap satu semasa mula semula. Kekalkan laluan pemulihan yang tidak bergantung pada pembaikan VPN, supaya kesilapan kekal boleh dipulihkan.

Kedua-dua peranan masih berkongsi CPU, memori, kapasiti pautan atas dan peristiwa penyelenggaraan. Sumber dikongsi itu tergolong dalam pelan walaupun sempadan kuasa bersih.

Catat apa yang boleh dilakukan oleh setiap proses, apa yang gagal jika ia berhenti, dan sempadan mana yang kekal dikongsi. Kiraan port bukan catatan itu.