Meshnet, Docker a povolenie medzi nimi

Dve URL môžu z prehliadača uzla vyzerať rovnako, a predsa pre firewall znamenať úplne odlišné veci. Jedna ukazuje na službu, ktorá načúva na samotnom hostiteľovi. Druhá ukazuje na adresu hostiteľa, ktorej port je publikovaný do siete kontajnerov, kde krok prekladu odovzdá spojenie inej IP. V sieti typu peer-to-peer, ktorá riadi prístup k miestnej sieti povolením pre každý uzol, je tento rozdiel celou recenziou.

Povolenie sa týka koncového bodu hostiteľa, preklad sa týka Dockeru a prihlásenie sa týka aplikácie. Tri rozhodnutia, tri miesta, kam sa pozrieť.

Sledujte cieľ po publikovaní

Vezmite hostiteľa s Linuxom a Dockerom, ktorý publikuje port 80 kontajnera na porte hostiteľa 8080. Uzol sa pripojí na sieťovú adresu hostiteľa na 8080, hostiteľ spojenie prijme a preklad cieľa ho prepíše na mostovú adresu kontajnera, zvyčajne na niečo ako 172.17.0.2 na porte 80.

Kým pravidlo tento tok preskúma, zaujímavým cieľom je kontajner, nie hostiteľ. Zásada, ktorá uvažuje len o „službe na tomto stroji“, uvažuje o nesprávnom objekte. Požiadavka pristála na hostiteľovi, ale doručuje sa niekam inam.

Preto dokumentácia siete uvádza kontajnery Dockeru medzi zdrojmi, ktoré povolenie miestnej siete na Linuxe riadi. Povolenie nie je synonymom bežnej položky v zozname povolených VPN a obe kontroly sa navzájom nenahrádzajú. Jedna rozhoduje, či uzol vôbec smie dosiahnuť miestne zdroje; druhá rozhoduje, ktoré ciele tunelovaná trasa nesie.

Rozhodnite, koľko miestneho prístupu povolenie dáva

Udelenie prístupu uzla k miestnej sieti nie je rozhodnutím o jednom kontajneri. Môže odhaliť iné publikované služby na tom istom hostiteľovi a môže dosiahnuť ďalej podľa toho, ako hostiteľ preposiela. Pred kliknutím na prepínač pre jeden panel preskúmajte skutočný rozsah.

Potom sa pozrite, kde Docker port publikuje. Publikácia na 0.0.0.0 vytvorí načúvajúci prvok na každej adrese hostiteľa, čo môže pridať bežnú položku LAN vedľa sieťovej. Ak je požiadavkou len sieť, pripútajte publikáciu ku konkrétnej adrese alebo rozhraniu, ktoré zamýšľate, a širšie pripútanie berte ako samostatný nález, nie ako pohodlie.

Držte zásadu preposielania hostiteľa a vlastnú autentizáciu aplikácie dostatočne úzke pre službu. URL, ktorá vyzerá súkromne, nie je riadením prístupu, a kontajner, ktorý dôveruje každému zdroju vo svojej mostovej sieti, nie je chránený tým, že uzol siete bol schválený. Autentizácia aplikácie je tretie rozhodnutie a jediné, ktoré vie, kto je používateľ. Povolenie na úrovni hostiteľa túto znalosť poskytnúť nemôže.

Testujte povolenie, nielen URL

Zo schváleného uzla otvorte presnú službu a potvrďte, že funguje. Potom skúste cieľ, ktorý má zostať zamietnutý, a potvrďte, že nefunguje. Testovanie len šťastnej cesty vám povie, že povolenie bolo udelené; nepovie vám, že hranica je tam, kde si myslíte.

Samostatne porovnajte službu natívnu pre hostiteľa. Ak databáza načúva na hostiteľovi a panel beží v kontajneri, idú rôznymi cestami cez to isté povolenie a zásada preposielania hostiteľa ich nemusí riadiť rovnako. Pred napísaním poznámky k recenzii si poznamenajte, čo je čo.

Nevyprázdňujte tabuľky Dockeru ani pravidlá klienta siete, aby ste prístup „resetovali“. Oba produkty inštalujú vlastnú integráciu zásad a jej vymazanie vytvorí hostiteľa, ktorý vyzerá funkčne, ale obchádza kontroly, ktoré ste mali vyhodnotiť. Ak pravidlo vyzerá nesprávne, prečítajte si ho a zmeňte práve to pravidlo. Ak nedokážete vysvetliť, čo pravidlo robí, je to nález, nie dôvod ho vymazať.

Napíšte nález termínmi samotného systému

Dôležité je rozlíšenie, ktoré produkt skutočne presadzuje, nie to v šablóne recenzie: povolenie dosiahnuť koncový bod hostiteľa, povolenie dosiahnuť smerované súkromné zdroje a povolenie používať aplikáciu. Publikovanie portu necháva tieto tri rozhodnutia presne tam, kde boli, a recenzent, ktorý ich berie ako jedno, schváli nesprávny rozsah.

Uveďte adresu hostiteľa, publikovaný port, cieľ kontajnera a povolenie uzla v jednej vete. Tá veta je overiteľná niekým iným, a práve to z nej robí nález, nie názor.