노출 된 RPC로 Tezos 노드를 호스팅하기위한 모범 사례는 무엇입니까?

다음 중 하나 :

• RPC를 전혀 노출하지 마십시오 (!) 또는
• 최대 제한 허용 목록 으로 프록시를 앞에 배치합니다.

물론 허용 목록이 도움이 되려면 허용 목록에 잠재적으로 유해한 엔드 포인트를 포함해서는 안됩니다. 무해 해 보이는 엔드 포인트도 서비스 거부에 사용될 수 있으며 일부 엔드 포인트는 놀랍게도 유해합니다.

Either:

• don't expose the RPC at all (!), or
• put a proxy in front with a maximally restrictive whitelist.

Of course, for a whitelist to help, you must not include potentially harmful endpoints in your whitelist... Even seemingly harmless endpoints might be used for denial of service, and some endpoints are surprisingly harmful.

TezRPC (TezBox를 구동)를 위해 우리가하는 일은 각 서버에서 프록시를 실행하는 것입니다. 이 프록시 내에서 공용 엔드 포인트를 차단,제한 및 사용자 지정할 수 있습니다.

현재 NodeJS로 빌드 된 가벼운 프록시를 사용하고 있지만nginx 스타일 프록시로 전환 할 예정입니다 (더 나은 성능).

다음은 거의 모든 엔드 포인트를 차단하는node.js 프록시의 예입니다 (포트 8732에서 로컬 RPC API 수신).

 var express = require('express');  
var request = require('request');
var app = express();  
var cors = require('cors')
var apiServerHost = "http://localhost:8732";
app.use(cors())
app.use('/', function(req, res) {
    // Whitelist. Be afraid.
    if (req.url === '/chains/main/blocks/head'
          || req.url === '/chains/main/blocks/head/hash') {
        var url = apiServerHost + req.url;
        req.pipe(request(url)).pipe(res);
    } else {
        res.status(404).send('Not available');
    }
});
app.listen(process.env.PORT || 3000, function () {
  console.log('TZProxy running')
})  
 

What we do for TezRPC (which powers TezBox) is run a proxy on each server. Within this proxy, you can then block, restrict and customize public facing endpoints.

We currently use a light proxy built with NodeJS, but will switch over to a nginx style proxy (better performance).

Here is an example of a node.js proxy that blocks almost all endpoints (listening to the local RPC API on port 8732):

var express = require('express');  
var request = require('request');
var app = express();  
var cors = require('cors')
var apiServerHost = "http://localhost:8732";
app.use(cors())
app.use('/', function(req, res) {
    // Whitelist. Be afraid.
    if (req.url === '/chains/main/blocks/head'
          || req.url === '/chains/main/blocks/head/hash') {
        var url = apiServerHost + req.url;
        req.pipe(request(url)).pipe(res);
    } else {
        res.status(404).send('Not available');
    }
});
app.listen(process.env.PORT || 3000, function () {
  console.log('TZProxy running')
})  

제가 생각할 수있는 대안 중 하나는 Conseil을 사용하는 것입니다. https://github.com/Cryptonomic/Conseil

Conseil이하는 일을 겸손하게 이해하는 것은tezos-node/rpc 위에 확장 된 API를 제공하는 것입니다.그리고 아마도 (?) 엔드 포인트 또는 기타 보안 조치를 활성화/비활성화 할 수있는 몇 가지 추가 기능입니다.

다음은 몇 가지 예입니다

One of the alternatives i could think of, is using Conseil: https://github.com/Cryptonomic/Conseil

In my humble understanding what Conseil does, is provide an extended API on top of a tezos-node/rpc. And perhaps (?) some extra features which could allow enabling/disabling endpoints or other security measures.

Here's a few examples

RPC 만 필요한 경우 ssh 로컬 포트 포워딩을 사용하여 원격 시스템의 로컬 호스트에서 로컬 시스템의 로컬 호스트로 RPC를 전달할 수도 있습니다.

예를 들어 백그라운드 프로세스 :

 ssh -fNT -L 8732:localhost:8732 user@hostname
 

이게 얼마나 안전한지 모르겠습니다.

When you only need the RPC for yourself you could also use ssh local port forwarding to forward the RPC from the localhost of your remote machine to the localhost of your local machine.

For instance, as a background process:

ssh -fNT -L 8732:localhost:8732 user@hostname

I don't know how safe this is though.