Meshnet, Docker na ruhusa iliyo katikati

URL mbili zinaweza kuonekana sawa kutoka kwa kivinjari cha mwenzake na bado zikamaanishe mambo tofauti kabisa kwa firewall. Moja inaelekeza kwenye huduma inayosikiliza kwenye mwenyeji mwenyewe. Nyingine inaelekeza kwenye anwani ya mwenyeji ambayo bandari yake imechapishwa kwenye mtandao wa kontena, ambapo hatua ya tafsiri inakabidhi muunganisho kwa IP nyingine. Katika mesh ya mwenzake-kwa-mwenzake inayodhibiti ufikiaji wa mtandao wa ndani kwa ruhusa kwa kila mwenzake, tofauti hiyo ndiyo ukaguzi wote.

Ruhusa inahusu sehemu ya mwisho ya mwenyeji, tafsiri inahusu Docker, na kuingia kunahusu programu. Maamuzi matatu, sehemu tatu za kuangalia.

Fuatilia lengwa baada ya uchapishaji

Chukua mwenyeji wa Linux Docker anayechapisha bandari 80 ya kontena kwenye bandari 8080 ya mwenyeji. Mwenzake anajiunga na anwani ya mesh ya mwenyeji kwenye 8080, mwenyeji anakubali muunganisho, na tafsiri ya lengwa inaiandika upya kuelekea anwani ya daraja ya kontena, kwa kawaida kitu kama 172.17.0.2 kwenye bandari 80.

Wakati sheria inachunguza mtiririko huo, lengwa la kupendeza ni kontena, sio mwenyeji. Sera inayofikiri tu kuhusu «huduma kwenye mashine hii» inafikiri kuhusu kitu kisicho sahihi. Ombi lilitua kwenye mwenyeji, lakini linawasilishwa mahali pengine.

Ndiyo sababu nyaraka za mesh zinaorodhesha kontena za Docker miongoni mwa rasilimali ambazo ruhusa ya mtandao wa ndani inadhibiti kwenye Linux. Ruhusa hiyo si sawa na kiingilio cha kawaida kwenye orodha ya ruhusa ya VPN, na udhibiti huo mbili hazibadilishani. Moja huamua kama mwenzake anaweza kufikia rasilimali za ndani kabisa; nyingine huamua ni lengwa gani njia ya handaki inabeba.

Amua ni kiasi gani cha ufikiaji wa ndani ruhusa inatoa

Kumpa mwenzake ufikiaji wa mtandao wa ndani si uamuzi kuhusu kontena moja. Kunaweza kufichua huduma nyingine zilizochapishwa kwenye mwenyeji huyo huyo, na kunaweza kufikia mbali zaidi kulingana na jinsi mwenyeji anavyopeleka. Kagua wigo halisi kabla ya kubonyeza swichi kwa dashibodi moja.

Kisha angalia wapi Docker inachapisha bandari. Uchapishaji kwenye 0.0.0.0 huunda msikilizaji kwenye kila anwani ya mwenyeji, jambo ambalo linaweza kuongeza kiingilio cha kawaida cha LAN kando ya cha mesh. Ikiwa hitaji ni mesh pekee, funga uchapishaji kwenye anwani au kiolesura maalum unachokusudia, na chukulia ufungaji mpana kama ugunduzi tofauti badala ya urahisi.

Weka sera ya upelekaji ya mwenyeji na uthibitishaji wa programu yenyewe kuwa nyembamba vya kutosha kwa huduma. URL inayoonekana kuwa ya faragha si udhibiti wa ufikiaji, na kontena inayotumaini kila chanzo kwenye mtandao wake wa daraja haijalindwa na ukweli kwamba mwenzake wa mesh aliidhinishwa. Uthibitishaji wa programu ni uamuzi wa tatu, na ndio pekee unaojua mtumiaji ni nani. Ruhusa ya ngazi ya mwenyeji haiwezi kutoa maarifa hayo.

Jaribu ruhusa, sio URL pekee

Kutoka kwa mwenzake aliyedhinishwa, fungua huduma husika na uthibitishe inafanya kazi. Kisha jaribu lengwa ambalo linapaswa kubaki limekataliwa na uthibitishe halifanyi kazi. Kujaribu njia ya furaha pekee kunakuambia ruhusa ilitolewa; hakukuambii kwamba mpaka uko mahali unapofikiri.

Linganisha huduma ya asili ya mwenyeji kwa tofauti. Ikiwa hifadhidata inasikiliza kwenye mwenyeji na dashibodi inaendesha kwenye kontena, zinafuata njia tofauti kupitia ruhusa moja na huenda zisidhibitiwe sawa na sera ya upelekaji ya mwenyeji. Andika lipi ni lipi kabla ya kuandika dokezo la ukaguzi.

Usifute majedwali ya Docker au kanuni za mteja wa mesh ili «kuweka upya» ufikiaji. Bidhaa zote mbili zinasakinisha muunganisho wao wa sera, na kuifuta hutoa mwenyeji anayeonekana kufanya kazi huku akikwepa udhibiti ulioombwa kutathmini. Ikiwa kanuni inaonekana isiyo sahihi, isome na ubadilishe kanuni hiyo pekee. Ikiwa huwezi kueleza kanuni inafanya nini, hilo ni ugunduzi, sio sababu ya kuifuta.

Andika ugunduzi kwa istilahi za mfumo wenyewe

Kilicho muhimu ni tofauti ambayo bidhaa inatekeleza kweli, sio ile iliyo kwenye kiolezo cha ukaguzi: ruhusa ya kufikia sehemu ya mwisho ya mwenyeji, ruhusa ya kufikia rasilimali za faragha zilizopitishwa kwenye njia, na ruhusa ya kutumia programu. Kuchapisha bandari kunaacha maamuzi hayo matatu mahali palipokuwa, na mkaguzi anayeyachukulia kama moja ataidhinisha wigo usio sahihi.

Taja anwani ya mwenyeji, bandari iliyochapishwa, lengwa la kontena na ruhusa ya mwenzake katika sentensi moja. Sentensi hiyo inaweza kujaribiwa na mtu mwingine, na ndiyo inayoifanya kuwa ugunduzi badala ya maoni.