Ħajt tan-nar bejn il-portijiet mhix fruntiera tal-host

Is-sit tal-web iwieġeb fuq 443, il-VPN iwieġeb fuq 1194, il-ħajt tan-nar jippermetti eżattament dawk it-tnejn, u r-reviżjoni tgħaddi. Xejn f'dik is-sekwenza ma staqsa x'jista' jaqra l-ħaddiem tal-web jew liema fajls jista' jerġa' jikteb. Ħaddiem kompromess m'għandux bżonn port miftuħ jekk jista' jasal għal socket tal-kontroll jew direttorju tal-konfigurazzjoni li jista' jinkiteb fih. Il-fruntiera hija l-awtorità, u dawk li jisimgħu huma biss il-parti li hija faċli tidher.

Isem tas-servizz separat huwa tikketta; identità separata hija proprjetà tas-sigurtà.

Għodd l-awtorità tal-ħaddiem, mhux il-portijiet

Ibda mill-utent tal-ħin tal-eżekuzzjoni, il-gruppi tiegħu, il-kapaċitajiet tiegħu u l-veduta tiegħu tas-sistema tal-fajls. Kont tas-servizz li jappartjeni b'kumbinazzjoni għal grupp tal-VPN jista' jaqra materjal taċ-ċwievet mingħajr ebda port miftuħ. Il-muntaturi li jistgħu jinkitbu huma n-nofs l-ieħor: it-tlugħ u l-caches għandhom ikunu 'l bogħod mill-fajls tal-politika u mis-sigrieti, u direttorju kondiviż li jista' jinkiteb bla bżonn ifixkel l-ismijiet ordnati. Iċċekkja l-proċess li jwettaq l-operazzjoni, għax ġenitur privileġġat u ħaddiema mhux privileġġati ma jaqsmu l-awtorità waħda.

Li ċ-ċavetta tal-VPN tkun tinqara waqt il-bidu tad-daemon ma jfissirx li l-ħaddiem tal-web għandu bżonnha. Aqsam il-qari li jagħmel id-daemon mill-aċċess li jingħata lill-applikazzjoni.

Sockets li jagħtu aktar milli jidhru

Xi punti tat-tarf huma APIs amministrattivi liebsa feed tal-metrika. L-interface tal-ġestjoni tal-VPN tista' tbiddel is-sessjonijiet, tiskonnettja l-klijenti u taqra l-istat. Is-socket tal-ħin tal-eżekuzzjoni tal-kontenituri huwa usa' wkoll: l-aċċess għalih fil-prattika huwa kontroll tal-host, ferm lil hinn minn dak li teħtieġ applikazzjoni tal-web. Lanqas waħda minnhom ma tappartjeni għas-sett tal-muntaturi ta' applikazzjoni ordinarja, u lanqas waħda ma tidher meta tgħodd il-portijiet li jisimgħu.

L-irbit ta' semmiegħ tal-ġestjoni ma' indirizz lokali huwa bidu, mhux restrizzjoni sħiħa, għax kull mogħdija tad-dħul lejn dak l-indirizz għadha timporta. Ippermetti biss is-sorsi u l-interfaces mahsubin.

Il-kontenituri jaqsmu qalba waħda

Il-kontenituri jżidu fruntieri tal-proċess, tas-sistema tal-fajls u tan-netwerk, u jaqsmu qalba waħda mal-host. Dan jagħmel deċiżivi l-għażliet tal-kapaċitajiet, il-muntaturi tal-host u l-aċċess għad-daemon: li tarmonta sigrieti tal-host jew tagħti kontroll privileġġat tal-ħin tal-eżekuzzjoni jħassar il-fruntiera li tissuġġerixxi t-tikketta tal-kontenitur. VM separati tabilħaqq jagħtu qlub tal-mistednin separati, filwaqt li l-hypervisor, l-identitajiet amministrattivi, il-ħażna u l-backups jibqgħu kondiviżi. Agħżel il-fruntiera li l-konfigurazzjoni u l-aġġornamenti tagħha għandhom sid isemmi.

Arranġament aktar elaborat li ħadd ma jieħu ħsiebu huwa agħar minn wieħed sempliċi li fil-fatt jiġi rivedut.

Ittestja ċ-ċaħda, imbagħad is-servizz

Uża kontrolli approvati fil-kuntest reali tal-ħaddiem biex tikkonferma li ma jistax ibiddel il-politika tal-VPN, jaqra sigrieti mhux meħtieġa jew imiss l-interface tal-ġestjoni. Qari b'suċċess bħala amministratur ma jittestjax xejn dwar dik iċ-ċaħda. Imbagħad ivverifika s-sit tal-web, operazzjoni ordinarja tal-VPN permessa, u x'jiġri lil kull waħda waqt l-istartjar mill-ġdid. Ippreserva mogħdija tal-irkupru li ma tiddependix fuq it-tiswija tal-VPN, sabiex żball jibqa' jista' jiġi rkuprat.

Iż-żewġ rwoli xorta jaqsmu CPU, memorja, kapaċità tal-uplink u avvenimenti tal-manutenzjoni. Dawk ir-riżorsi kondiviżi jappartjenu għall-pjan anki meta l-fruntiera tal-awtorità tkun nadifa.

Irreġistra x'jista' jagħmel kull proċess, x'jitlef jekk jieqaf, u liema fruntiera tibqa' kondiviża. L-għadd tal-portijiet mhuwiex dik ir-reġistrazzjoni.