Meshnet, Docker va ular orasidagi ruxsat

Ikki URL tengdoshning brauzeridan bir xil ko'rinishi mumkin, ammo xavfsizlik devori uchun butunlay boshqa narsani anglatadi. Biri xostning o'zida tinglayotgan xizmatga ishora qiladi. Ikkinchisi porti konteyner tarmog'iga e'lon qilingan xost manziliga ishora qiladi, u yerda tarjima bosqichi ulanishni boshqa IP ga topshiradi. Har bir tengdosh uchun ruxsat bilan mahalliy tarmoqqa kirishni boshqaradigan tengdosh-tengdosh tarmog'ida o'sha farq butun ko'rikdir.

Ruxsat xostning oxirgi nuqtasiga tegishli, tarjima Docker ga tegishli, kirish esa ilovaga tegishli. Uch qaror, qarash uchun uch joy.

E'lon qilingandan so'ng manzilni kuzatib boring

Konteynerning 80 portini xostning 8080 portida e'lon qiladigan Linux Docker xostini oling. Tengdosh 8080 da xostning tarmoq manziliga ulanadi, xost ulanishni qabul qiladi va manzil tarjimasi uni konteynerning ko'prik manziliga, odatda 172.17.0.2 kabi narsaga, 80 portda qayta yozadi.

Qoida bu oqimni tekshirganda, qiziqarli manzil xost emas, konteynerdir. Faqat «bu mashinadagi xizmat» haqida fikr yuritadigan siyosat noto'g'ri obyekt haqida fikr yuritadi. So'rov xostga tushdi, lekin boshqa joyga yetkazilmoqda.

Shuning uchun tarmoq hujjatlari Docker konteynerlarini Linux da mahalliy tarmoq ruxsati boshqaradigan resurslar qatoriga kiritadi. Ruxsat oddiy VPN ruxsat ro'yxatidagi yozuvning sinonimi emas va ikki nazorat bir-birining o'rnini bosmaydi. Biri tengdosh mahalliy resurslarga umuman yeta oladimi-yo'qmi hal qiladi; ikkinchisi tunnel marshruti qanday manzillarni olib o'tishini hal qiladi.

Ruxsat qancha mahalliy kirish berishini hal qiling

Tengdoshga mahalliy tarmoqqa kirish berish bitta konteyner haqidagi qaror emas. Bu o'sha xostdagi boshqa e'lon qilingan xizmatlarni ochib qo'yishi mumkin va xost qanday yo'naltirishiga qarab uzoqroqqa yetishi mumkin. Bitta panel uchun kalitni bosishdan oldin amaldagi qamrovni ko'rib chiqing.

Keyin Docker portni qayerda e'lon qilishini ko'ring. 0.0.0.0 da e'lon qilish har bir xost manzilida tinglovchi yaratadi, bu tarmoq yozuvi yoniga oddiy LAN yozuvini qo'shishi mumkin. Agar talab faqat tarmoq bo'lsa, e'lonni siz nazarda tutgan aniq manzil yoki interfeysga bog'lang va kengroq bog'lashni qulaylik emas, alohida topilma deb hisoblang.

Xostning yo'naltirish siyosatini va ilovaning o'z autentifikatsiyasini xizmat uchun yetarlicha tor tuting. Maxfiy ko'rinadigan URL kirishni nazorat qilish emas va o'z ko'prik tarmog'idagi har bir manbaga ishonadigan konteyner tarmoq tengdoshlari tasdiqlangani bilan himoyalanmaydi. Ilovaning autentifikatsiyasi uchinchi qaror va foydalanuvchi kimligini biladigan yagona qaror. Xost darajasidagi ruxsat bu bilimni bera olmaydi.

Ruxsatni sinab ko'ring, faqat URL ni emas

Tasdiqlangan tengdoshdan aniq xizmatni oching va u ishlashini tasdiqlang. Keyin rad etilgan qolishi kerak bo'lgan manzilni sinab ko'ring va u ishlamasligini tasdiqlang. Faqat baxtli yo'lni sinash ruxsat berilganini aytadi; chegara siz o'ylagan joyda ekanini aytmaydi.

Xostga xos xizmatni alohida taqqoslang. Agar ma'lumotlar bazasi xostda tinglasa va panel konteynerda ishlasa, ular bir xil ruxsatdan turli yo'llar bilan o'tadi va xostning yo'naltirish siyosati ularni bir xil boshqarmasligi mumkin. Ko'rik eslatmasini yozishdan oldin qaysi biri qaysi ekanini yozib qo'ying.

Kirishni «qayta o'rnatish» uchun Docker jadvallarini yoki tarmoq mijozi qoidalarini bo'shatmang. Ikkala mahsulot ham o'z siyosat integratsiyasini o'rnatadi va uni o'chirish sizdan baholash so'ralgan nazoratlarni chetlab o'tib, ishlayotgandek ko'rinadigan xost yaratadi. Qoida noto'g'ri ko'rinsa, uni o'qing va faqat o'sha qoidani o'zgartiring. Qoida nima qilishini tushuntira olmasangiz, bu topilma, uni o'chirish uchun sabab emas.

Topilmani tizimning o'z atamalarida yozing

Muhimi mahsulot haqiqatda qo'llaydigan farq, ko'rik shablonidagi emas: xostning oxirgi nuqtasiga yetish ruxsati, yo'naltirilgan maxfiy resurslarga yetish ruxsati va ilovadan foydalanish ruxsati. Portni e'lon qilish bu uch qarorni aynan turgan joyida qoldiradi va ularni bitta deb hisoblaydigan ko'rib chiquvchi noto'g'ri qamrovni tasdiqlaydi.

Xost manzilini, e'lon qilingan portni, konteyner manzilini va tengdosh ruxsatini bitta jumlada ayting. Bu jumlani boshqa birov sinab ko'rishi mumkin va aynan shu uni fikr emas, topilma qiladi.