Tường lửa
Restorm chặn lại mọi lời gọi đi ra của mình — cả lời gọi của bạn lẫn của các thư viện phụ thuộc — và mặc định chặn những gì chưa được biết đến.
Lợi ích rất trực tiếp: một thư viện bên thứ ba muốn âm thầm gọi về nhà sẽ không làm được điều đó mà bạn không thấy.
Phán quyết được đưa ra như thế nào
Section titled “Phán quyết được đưa ra như thế nào”Theo thứ tự sau:
- Các cổng hạ tầng nội bộ của Restorm trên vòng lặp cục bộ đều được phép.
- Danh sách trắng cho phép.
- Các nguồn gốc suy ra từ dự án của bạn thì được phép — tức là các URL
trong yêu cầu của bạn, sau khi thay thế các
{{variables}}trên mọi môi trường, được tính lại ở mỗi lần cây thay đổi. - Danh sách đen từ chối.
- Nếu không rơi vào các trường hợp trên, một lời hỏi cấp phép sẽ hiện ra.
Điểm 3 chính là thứ làm cho tường lửa dùng được: nhập một đặc tả với ba trăm thao tác sẽ không kích hoạt ba trăm lời hỏi, bởi tất cả những URL đó đều đến từ dự án của bạn.
Lời hỏi cấp phép
Section titled “Lời hỏi cấp phép”Nó hiển thị:
- nguồn gốc liên quan, dưới dạng
https://exemple.com:443; - lớp đã chặn bắt lời gọi;
- một manh mối về bên gọi — URL khởi phát, hoặc một dấu vết ngăn xếp nêu tên gói npm hay tệp chịu trách nhiệm;
- hai nút Allow và Deny.
Mỗi quyết định đều được lưu lại trong danh sách tương ứng.
Nếu không có cửa sổ nào khả dụng, hoặc sau 60 giây không có phản hồi, lời gọi sẽ tự động bị từ chối.
Bảng điều khiển tường lửa
Section titled “Bảng điều khiển tường lửa”Xem ▸ Firewall mở ra một tab duy nhất: hai danh sách, Whitelist (N) và
Blacklist (N), kèm bộ đếm cập nhật theo thời gian thực, mỗi quy tắc một dòng
với thùng rác của nó, cộng thêm một ô thêm mới theo định dạng
scheme://host:port.
Một nút Test outbound to google.com cho phép kiểm tra rằng cơ chế đang hoạt động.
Các quy tắc
Section titled “Các quy tắc”Một quy tắc là bộ ba lược đồ + host + cổng. Cả ba đều có ý nghĩa: http
không phải là https, và :443 không phải là :8443.
Việc thêm một nguồn gốc vào một danh sách sẽ tự động gỡ nó khỏi danh sách kia.
Có hai ký tự đại diện được chấp nhận:
| Dạng | Tác dụng |
|---|---|
https://api.exemple.com:* | Mọi cổng của host này |
https://*.exemple.com | Các tên miền con chỉ một cấp |
https://*.exemple.com không bao gồm exemple.com trần, cũng không bao gồm
a.b.exemple.com.
Các trường hợp đặc biệt
Section titled “Các trường hợp đặc biệt”- Các lời gọi của cơ chế cập nhật tự động được miễn trừ: chúng không sinh ra lời hỏi nào.
- Các luồng thực thi và tiến trình con bị từ chối mọi lưu lượng HTTP, không có khả năng hỏi cấp phép cũng như không thể được danh sách trắng ghi đè. Đây là một tư thế phòng thủ có chủ ý.
- Không có công tắc tổng để tắt tường lửa. Đó là chủ ý.
Bảng điều khiển
Section titled “Bảng điều khiển”Mọi lời gọi bị chặn bắt đều xuất hiện trong bảng điều khiển, kèm phán quyết của nó, dưới dạng một lệnh shell sao chép được.
Qua MCP
Section titled “Qua MCP”Sáu công cụ, đều có trong bản Community: open_firewall,
firewall_list_rules, firewall_allow, firewall_deny,
firewall_list_pending_prompts và firewall_resolve_prompt. Mọi thay đổi do
một tác nhân thực hiện đều được ghi vết kiểm toán. Xem
Công cụ MCP.