Ce que joignent les terminaux

Un terminal de votre nœud joint internet et rien de privé : ni votre réseau local, ni votre centre de données, ni le serveur sur lequel il tourne. Votre administrateur ouvre les réseaux internes sur le serveur lui-même, un par un.

Toujours fermé

Quels que soient les réseaux que vous ouvrez, un terminal ne joint jamais :

• le nœud lui-même : chaque adresse du serveur, ses deux bridges et son API Incus ;
• les adresses link-local, dont celle des métadonnées du cloud, et le multicast ;
• le courrier sortant sur le port TCP 25 ;
• les autres terminaux : le port réseau de chacun est isolé de tous les autres.

Fermé tant que vous ne l’ouvrez pas

10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 et 100.64.0.0/10. Seuls des réseaux compris dans ces quatre plages s’ouvrent ; l’internet public est déjà ouvert.

Ouvrir un réseau privé

Sur le serveur, en root :

sudo detachbox-node-host private-networks                          # ce qui est ouvert maintenant
sudo detachbox-node-host private-networks --add 10.20.0.0/16       # ouvrir un réseau (répétez --add pour d’autres)
sudo detachbox-node-host private-networks --remove 10.20.0.0/16    # le fermer
sudo detachbox-node-host private-networks --clear                  # tous les fermer

• Chaque changement écrit private_networks dans /etc/detachbox-node/node-host.json et redémarre node-host, qui l’applique au pare-feu des terminaux en quelques secondes. Les terminaux ouverts restent connectés.
• Un réseau qui ne contient que le nœud, comme l’un de ses bridges ou sa propre adresse, est refusé. Votre réseau local s’ouvre, et la commande vous indique que l’adresse du nœud dans ce réseau reste fermée.
• Pendant qu’une installation ou une désinstallation tourne, un changement ne fait rien et nomme l’exécution qui tient le serveur.
• À l’installation, --private-network fait la même chose, comme le montre Installer le nœud.
• sudo detachbox-node-host doctor vérifie le pare-feu par rapport à la liste.

La liste vit sur le nœud. Le serveur detachbox peut la lire pour l’afficher, jamais la modifier : rien n’ouvre ni ne ferme un réseau à distance.

Les adresses du nœud

À l’enregistrement, le nœud reçoit son propre domaine : <id>.detachbox.dev, où <id> se compose de 8 lettres minuscules et chiffres aléatoires. Ses noms entrent dans les journaux publics de certificats, si bien que l’id ne porte jamais le nom de votre entreprise.

Toutes atteignent votre serveur par son tunnel Cloudflare. Les navigateurs de vos ingénieurs ont besoin de my.detachbox.com, api.detachbox.com et *.detachbox.dev.