Meshnet, Docker u l-permess bejniethom

Żewġ URLs jistgħu jidhru identiċi mill-brawżer ta’ pari u xorta jfissru affarijiet ferm differenti għall-firewall. Waħda tindika servizz li jisma’ fuq il-host innifsu. L-oħra tindika indirizz tal-host li l-port tiegħu huwa ppubblikat f’netwerk ta’ kontenituri, fejn pass ta’ traduzzjoni jgħaddi l-konnessjoni lil IP oħra. F’mesh pari ma’ pari li jikkontrolla l-aċċess għan-netwerk lokali b’permess għal kull pari, dik id-differenza hija r-reviżjoni kollha.

Il-permess huwa dwar il-punt tat-tmiem tal-host, it-traduzzjoni hija dwar Docker, u l-login huwa dwar l-applikazzjoni. Tliet deċiżjonijiet, tliet postijiet fejn tħares.

Segwi d-destinazzjoni wara l-pubblikazzjoni

Ħu host Linux Docker li jippubblika l-port 80 ta’ kontenitur fuq il-port 8080 tal-host. Pari jgħaqqad mal-indirizz tal-mesh tal-host fuq 8080, il-host jaċċetta l-konnessjoni, u traduzzjoni tad-destinazzjoni terġa’ tiktebha lejn l-indirizz tal-pont tal-kontenitur, tipikament xi ħaġa bħal 172.17.0.2 fuq il-port 80.

Meta regola tispezzjona dak il-fluss, id-destinazzjoni interessanti hija l-kontenitur, mhux il-host. Politika li tirraġuna biss dwar «servizz fuq din il-magna» tirraġuna dwar l-oġġett żbaljat. It-talba niżlet fuq il-host, imma qed tiġi kkonsenjata x’imkien ieħor.

Huwa għalhekk li d-dokumentazzjoni tal-mesh telenka l-kontenituri ta’ Docker fost ir-riżorsi li l-permess tan-netwerk lokali jirregola fuq Linux. Il-permess mhuwiex sinonimu ta’ entrata ordinarja f’lista ta’ permessi tal-VPN, u ż-żewġ kontrolli ma jissostitwixxux lil xulxin. Waħda tiddeċiedi jekk pari jistax jasal għal riżorsi lokali, l-oħra tiddeċiedi liema destinazzjonijiet iġġorr rotta tunnelata.

Iddeċiedi kemm aċċess lokali jagħti permess

Li tagħti lil pari aċċess għan-netwerk lokali mhijiex deċiżjoni dwar kontenitur wieħed. Tista’ tesponi servizzi oħra ppubblikati fuq l-istess host, u tista’ tasal aktar skont kif il-host jibgħat. Irrevedi l-ambitu effettiv qabel ma tagħfas is-swiċċ għal dashboard wieħed.

Imbagħad ara fejn Docker jippubblika l-port. Pubblikazzjoni fuq 0.0.0.0 toħloq semmiegħ fuq kull indirizz tal-host, li tista’ żżid entrata ordinarja tal-LAN ma’ dik tal-mesh. Jekk ir-rekwiżit huwa biss il-mesh, orbot il-pubblikazzjoni mal-indirizz jew l-interface speċifika li għandek f’moħħok, u ttratta l-irbit usa’ bħala sejba separata u mhux bħala kumdità.

Żomm il-politika tal-ibgħat tal-host u l-awtentikazzjoni tal-applikazzjoni stess dejqa biżżejjed għas-servizz. URL li tidher privata mhijiex kontroll tal-aċċess, u kontenitur li jafda kull sors fuq in-netwerk tal-pont tiegħu mhuwiex protett mill-fatt li l-pari tal-mesh ġie approvat. L-awtentikazzjoni tal-applikazzjoni hija t-tielet deċiżjoni, u hija l-unika waħda li taf min hu l-utent. Permess fil-livell tal-host ma jistax jipprovdi dik l-għarfien.

Ittesta l-permess, mhux biss l-URL

Mill-pari approvat, iftaħ is-servizz eżatt u kkonferma li jaħdem. Imbagħad ipprova destinazzjoni li għandha tibqa’ miċħuda u kkonferma li ma taħdimx. Li tittestja biss it-triq ferrieħa jgħidlek li l-permess ingħata; ma jgħidlekx li l-limitu huwa fejn taħseb int.

Qabbel servizz nattiv tal-host separatament. Jekk database tisma’ fuq il-host u dashboard jaħdem f’kontenitur, huma jimxu triqat differenti mill-istess permess u jistgħu ma jiġux irregolati bl-istess mod mill-politika tal-ibgħat tal-host. Innota liema huwa liema qabel ma tikteb in-nota tar-reviżjoni.

Tħassarx it-tabelli ta’ Docker jew ir-regoli tal-klijent tal-mesh biex «tirrisettja» l-aċċess. Iż-żewġ prodotti jinstallaw l-integrazzjoni tagħhom tal-politika, u t-tħassir tagħha jipproduċi host li jidher li jaħdem filwaqt li jgħaddi minn ġenb il-kontrolli li ġejt mitlub tevalwa. Jekk regola tidher ħażina, aqraha u ibdel dik ir-regola biss. Jekk ma tistax tispjega x’tagħmel regola, dik hija s-sejba, mhux raġuni biex tħassarha.

Ikteb is-sejba fit-termini tas-sistema stess

Dak li jimporta huwa d-distinzjoni li l-prodott fil-fatt jinfurza, mhux dik fil-mudell tar-reviżjoni: permess li tasal għal punt tat-tmiem tal-host, permess li tasal għal riżorsi privati diretti, u permess li tuża l-applikazzjoni. Li tippubblika port iħalli dawk it-tliet deċiżjonijiet eżatt fejn kienu, u reviżur li jittrattahom bħala waħda se japprova l-ambitu żbaljat.

Iddikjara l-indirizz tal-host, il-port ippubblikat, id-destinazzjoni tal-kontenitur u l-permess tal-pari fl-istess sentenza. Dik is-sentenza tista’ tiġi ttestjata minn xi ħadd ieħor, u dan huwa dak li jagħmilha sejba u mhux opinjoni.