Lo que alcanzan los terminales

Un terminal de tu nodo llega a internet y a nada privado: ni a tu LAN, ni a tu centro de datos, ni al servidor en el que corre. Tu administrador abre las redes internas en el propio servidor, una a una.

Siempre cerrado

Abras las redes que abras, un terminal nunca llega a:

• el propio nodo: cada dirección del servidor, sus dos bridges y su API de Incus;
• las direcciones link-local, entre ellas la dirección de metadatos de la nube, y el multicast;
• el correo saliente por el puerto TCP 25;
• otros terminales: el puerto de red de cada uno está aislado del resto.

Cerrado hasta que lo abras

10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 y 100.64.0.0/10. Solo se abren redes dentro de estos cuatro rangos; el acceso a internet ya está abierto.

Abre una red privada

En el servidor, como root:

sudo detachbox-node-host private-networks                          # lo que está abierto ahora
sudo detachbox-node-host private-networks --add 10.20.0.0/16       # abre una red (repite --add para más)
sudo detachbox-node-host private-networks --remove 10.20.0.0/16    # la cierra
sudo detachbox-node-host private-networks --clear                  # las cierra todas

• Cada cambio escribe private_networks en /etc/detachbox-node/node-host.json y reinicia node-host, que lo aplica al firewall de los terminales en segundos. Los terminales abiertos siguen conectados.
• Una red que no es más que el nodo, como uno de sus bridges o su propia dirección, se rechaza. Tu LAN se abre, y el comando te avisa de que la dirección del propio nodo dentro de ella sigue cerrada.
• Mientras corre una instalación o una desinstalación, un cambio no hace nada y nombra la ejecución que ocupa el servidor.
• Al instalar, --private-network hace lo mismo, como muestra Instala el nodo.
• sudo detachbox-node-host doctor comprueba el firewall contra la lista.

La lista vive en el nodo. El servidor de detachbox puede leerla para mostrarla, pero nunca cambiarla: nada abre ni cierra una red desde fuera.

Las direcciones del nodo

Al registrarse, el nodo recibe un dominio propio: <id>.detachbox.dev, donde <id> son 8 letras minúsculas y dígitos al azar. Sus nombres acaban en los registros públicos de certificados, así que el id nunca lleva el nombre de tu empresa.

Todas llegan a tu servidor por su Cloudflare Tunnel. Los navegadores de tus ingenieros necesitan my.detachbox.com, api.detachbox.com y *.detachbox.dev.