O que os terminais alcançam

Um terminal no seu nó alcança a internet e nada privado: nem a sua LAN, nem o seu data center, nem o servidor onde ele roda. O seu administrador abre redes internas no próprio servidor, uma por vez.

Sempre fechado

Seja qual for a rede que você abrir, um terminal nunca alcança:

• o próprio nó: cada endereço do servidor, as duas bridges dele e a API do Incus;
• endereços link-local, entre eles o endereço de metadados da nuvem, e multicast;
• e-mail de saída na porta TCP 25;
• outros terminais: a porta de rede de cada um fica isolada do resto.

Fechado até você abrir

10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 e 100.64.0.0/10. Só abrem redes dentro dessas quatro faixas; a internet pública já está aberta.

Abra uma rede privada

No servidor, como root:

sudo detachbox-node-host private-networks                          # o que está aberto agora
sudo detachbox-node-host private-networks --add 10.20.0.0/16       # abre uma rede (repita --add para mais)
sudo detachbox-node-host private-networks --remove 10.20.0.0/16    # fecha a rede
sudo detachbox-node-host private-networks --clear                  # fecha todas

• Cada mudança grava private_networks em /etc/detachbox-node/node-host.json e reinicia o node-host, que aplica a lista ao firewall dos terminais em segundos. Os terminais abertos continuam conectados.
• Uma rede que é só o nó, como uma das bridges ou o próprio endereço dele, é recusada. A sua LAN abre, e o comando avisa que o endereço do próprio nó dentro dela continua fechado.
• Enquanto uma instalação ou desinstalação roda, uma mudança não faz nada e informa qual execução está ocupando o servidor.
• Na instalação, --private-network faz o mesmo, como mostra Instale o nó.
• sudo detachbox-node-host doctor confere o firewall com a lista.

A lista fica no nó. O servidor do detachbox pode lê-la para mostrá-la, mas nunca alterá-la: nada abre nem fecha uma rede de longe.

Os endereços do nó

No registro, o nó recebe um domínio próprio: <id>.detachbox.dev, onde <id> são 8 letras minúsculas e dígitos aleatórios. Os nomes dele vão para os logs públicos de certificados, então o id nunca carrega o nome da sua empresa.

Todos chegam ao seu servidor pelo Cloudflare Tunnel dele. Os navegadores dos seus engenheiros precisam de my.detachbox.com, api.detachbox.com e *.detachbox.dev.