Ang firewall sa pagitan ng mga port ay hindi hangganan ng host

Sumasagot ang website sa 443, sumasagot ang VPN sa 1194, pinapayagan ng firewall ang eksaktong dalawang iyon, at pumasa ang pagsusuri. Walang anuman sa pagkakasunod-sunod na iyon ang nagtanong kung ano ang mababasa ng web worker o kung aling mga file ang maaari niyang muling isulat. Ang kompromisong worker ay hindi nangangailangan ng bukas na port kung maaabot niya ang control socket o isang direktoryo ng config na maisusulat. Ang hangganan ay awtoridad, at ang mga tagapakinig ay ang bahagi lamang na madaling makita.

Ang hiwalay na pangalan ng serbisyo ay isang label; ang hiwalay na pagkakakilanlan ay isang katangian ng seguridad.

Bilangin ang awtoridad ng worker, hindi ang mga port

Magsimula sa runtime user, sa mga grupo nito, sa mga kakayahan nito at sa pananaw nito sa filesystem. Ang service account na nagkataong kabilang sa isang VPN group ay makakabasa ng key material nang walang bukas na port. Ang mga mount na maisusulat ay ang kabilang kalahati: ang mga upload at cache ay dapat malayo sa mga policy file at sikreto, at ang isang hindi kailangang ibinahaging direktoryo na maisusulat ay sumisira sa maayos na pagpapangalan. Suriin ang prosesong gagawa ng operasyon, dahil ang isang privileged na magulang at mga unprivileged na worker ay hindi nagbabahagi ng isang awtoridad.

Ang pagiging mabasa ng VPN key habang nagsisimula ang daemon ay hindi nangangahulugang kailangan ito ng web worker. Paghiwalayin ang pagbasa na ginagawa ng daemon mula sa access na ibinibigay sa application.

Mga socket na nagbibigay ng higit sa tila

Ang ilang endpoint ay administrative API na nakasuot ng metrik feed. Ang management interface ng VPN ay maaaring magpalit ng session, magdiskonekta ng kliyente at magbasa ng estado. Ang runtime socket ng container ay mas malawak pa: ang pag-access dito ay epektibong kontrol ng host, lampas sa kailangan ng isang web application. Wala sa dalawa ang kabilang sa mount set ng karaniwang application, at wala sa dalawa ang lumilitaw kapag binibilang mo ang mga port na nakikinig.

Ang pagbigkis ng management listener sa isang lokal na address ay simula, hindi kumpletong paghihigpit, dahil mahalaga pa rin ang bawat daan ng pagpasok sa address na iyon. Payagan lamang ang mga inaasahang pinagmulan at interface.

Nagbabahagi ang mga container ng isang kernel

Nagdadagdag ang mga container ng hangganan ng proseso, filesystem at network, at nagbabahagi sila ng isang kernel sa host. Ginagawa nitong mapagpasyahan ang mga pagpipilian sa kakayahan, mga mount ng host at pag-access sa daemon: ang pag-mount ng mga sikreto ng host o pagbibigay ng privileged runtime control ay nagbubura ng hangganang ipinahihiwatig ng label ng container. Ang hiwalay na VM ay talagang nagbibigay ng hiwalay na guest kernel, habang ang hypervisor, administrative identities, storage at backup ay nananatiling ibinabahagi. Piliin ang hangganang ang config at update ay may pinangalanang may-ari.

Ang mas komplikadong kaayusan na walang nagmementina ay mas masama kaysa sa simple na talagang sinusuri.

Subukan ang pagtanggi, pagkatapos ang serbisyo

Gumamit ng mga aprubadong pagsusuri sa tunay na konteksto ng worker upang kumpirmahin na hindi niya mababago ang patakaran ng VPN, makakabasa ng hindi kailangang sikreto o makakasaling sa management interface. Ang matagumpay na pagbasa bilang administrator ay walang sinusubukang patunay tungkol sa pagtanggi na iyon. Pagkatapos ay i-verify ang website, isang karaniwang pinapayagang operasyon ng VPN, at ano ang nangyayari sa bawat isa sa muling pag-restart. Panatilihin ang isang daan ng pagbawi na hindi nakadepende sa pag-aayos ng VPN, upang manatiling mababawi ang isang pagkakamali.

Ang dalawang papel ay nagbabahagi pa rin ng CPU, memory, uplink capacity at mga kaganapan sa maintenance. Ang mga ibinabahaging mapagkukunang iyon ay bahagi ng plano kahit malinis ang hangganan ng awtoridad.

Itala kung ano ang magagawa ng bawat proseso, ano ang nabigo kapag huminto ito, at aling hangganan ang nananatiling ibinabahagi. Ang bilang ng port ay hindi ang talaang iyon.