Куда ходят терминалы

Терминал на вашей ноде выходит в интернет и не видит ничего частного: ни вашей локальной сети, ни дата-центра, ни сервера, на котором работает. Внутренние сети ваш администратор открывает на самом сервере, по одной.

Закрыто всегда

Какие бы сети вы ни открыли, терминал никогда не достанет:

• до самой ноды: всех адресов сервера, обоих его мостов и API Incus;
• до link-local адресов, в том числе адреса метаданных облака, и до multicast;
• до исходящей почты на TCP-порт 25;
• до других терминалов: сетевой порт каждого изолирован от остальных.

Закрыто, пока вы не откроете

10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 и 100.64.0.0/10. Открываются только сети внутри этих четырёх диапазонов; публичный интернет открыт и так.

Откройте частную сеть

На сервере, от root:

sudo detachbox-node-host private-networks                          # что открыто сейчас
sudo detachbox-node-host private-networks --add 10.20.0.0/16       # открыть сеть (повторите --add для нескольких)
sudo detachbox-node-host private-networks --remove 10.20.0.0/16    # закрыть её
sudo detachbox-node-host private-networks --clear                  # закрыть все

• Каждое изменение записывается в private_networks в /etc/detachbox-node/node-host.json, node-host перезапускается и за секунды переносит его в файрвол терминалов. Открытые терминалы остаются на связи.
• Сеть, которая целиком состоит из самой ноды, например её мост или её собственный адрес, не откроется. Вашу локальную сеть открыть можно, и команда напомнит, что собственный адрес ноды в ней остаётся закрытым.
• Пока идёт установка или удаление, изменение ничего не делает и называет запуск, который занимает сервер.
• При установке то же делает --private-network, как показано на странице Установка ноды.
• sudo detachbox-node-host doctor сверяет файрвол со списком.

Список хранится на ноде. Сервер detachbox может его прочитать, чтобы показать, но не изменить: издалека сеть не откроет и не закроет никто.

Адреса ноды

При регистрации нода получает собственный домен: <id>.detachbox.dev, где <id> — 8 случайных строчных букв и цифр. Её имена попадают в публичные журналы сертификатов, поэтому в id никогда нет названия вашей компании.

Все они доходят до вашего сервера через его туннель Cloudflare. Браузерам ваших инженеров нужны my.detachbox.com, api.detachbox.com и *.detachbox.dev.