Eristys
Aja agenttiistuntoja verkon eristämässä nimitilassa.
Vaihda yrityskohtaista käytäntöä ajaaksesi agenttiistuntoja omassa verkkonimitilassaan (netns). netns-tilassa ulospäin suuntautuva liikenne on oletuksena estetty, joten agentti ei voi vuotaa dataasi verkon kautta. Se on valinnainen - oletuksena pois päältä.
Agent session · netns
- Own network namespace
- Loopback + control socket only
- Egress denied by default
- No raw outbound to the internet
Outside world
- Public internet · blocked
- Other tenants · unreachable
- Internal services · allow-list (roadmap)
- Policy is per-company · default off
Miten se toimii
1
Aseta käytäntö
Valitse yrityskohtainen hiekkalaatikkotila: pois (oletus) tai netns verkon eristettyjä istuntoja varten.
2
Istunto alkaa netns:ssä
netns-tilassa jokainen agenttiistunto ajetaan omassa Linux-verkkonimitilassaan.
3
Ulospääsy estetty oletuksena
Hiekkalaatikkoistunnon ulospäin suuntautuva verkkoliikenne on estetty, joten se ei pysty saavuttamaan julkista internetiä.
4
Työ pysyy eristettynä
Agentti voi tehdä työnsä nimitilassa ilman avointa reittiä vuotaa verkon kautta.
Syvät sukellukset
Verkkonimitilan eristys
netns-tila sijoittaa jokaisen agenttiistunnon omaan Linux-verkkonimitilaansa. Tämä on verkkotason ulospääsyn eristys - ei täysi seccomp/syscall-hiekkalaatikko.
Oletus-deny ulospääsy
netns-tila-istunnon sisällä ulospäin suuntautuva verkkoyhteys on oletuksena estetty, mikä poistaa helpomman reitin agentille lähettää dataa pois koneelta.
Yrityskohtainen, valinnainen
Hiekkalaatikkotila on yritystason asetus ja toimitetaan oletuksena pois päältä. Kytke se päälle yrityksille, jotka tarvitsevat verkon eristyksen; jätä pois muualla.
Kytke ulospääsyn eristys päälle
shell · per-company egress policy
# Opt in: run agent sessions in a network namespace
$ synaptyx company set-sandbox --mode netns
✓ sandbox_mode = netns · applies to new sessions
# Inside a sandboxed session, outbound is denied by default
$ curl https://example.com
curl: (7) Couldn't connect — network is unreachable
# Default stays off until you flip it
$ synaptyx company get-sandbox
sandbox_mode: off # off | netns
Verkon eristys joka on rehellinen laajuudestaan.
Tämä on netns-pohjainen ulospääsyn eristys: ulospäin suuntautuva verkkoyhteys on oletuksena estetty hiekkalaatikkoistunnon sisällä. Se ei ole täysi syscall-hiekkalaatikko - kuvailemme täsmälleen mitä se tekee, eikä enempää.
Vertailu
| Synaptyx | Ei eristystä | Vain kontti | |
|---|---|---|---|
| Istuntokohtainen verkkonimitila | netns-tila | ei | oletuksena jaettu |
| Ulospääsy estetty oletuksena | kyllä | ei | ei |
| Yrityskohtainen käytäntö | pois | netns | ei | kuvatason |
| Oletusasento | pois - valinnainen | avoin | avoin |
| Sisäinen sallittujen lista | kehityslistalla | ei | ei |
UKK
Ei - emmekä väitä sen olevan. Tänään se on verkkonimitilan ulospääsyn eristys: istunnot ajetaan omassa netns:ssään, jossa ulospäin suuntautuva verkkoyhteys on oletuksena estetty. Se ei ole seccomp/syscall-hiekkalaatikko.
Ei. Hiekkalaatikkotila on oletuksena pois päältä ja asetettu yrityskohtaisesti. Otat sen käyttöön vaihtamalla käytännön netns:ksi; tähän asti istunnot ajetaan kuten tänään.
netns-tilassa ulospääsy on oletuksena estetty. Laajuinen sisäinen sallittujen lista hyväksytyille kohteille on kehityslistalla; tänään turvallinen oletus on ei ulospäin hiekkalaatikkoistunnosta.
Ei - se täydentää niitä. Ulospääsyn eristys rajoittaa mitä agentti voi saavuttaa verkon kautta; auditointijälki kirjaa mitä se teki ja budjetit rajoittavat mitä se kuluttaa. Käytä niitä yhdessä.
Valmis eristämään agenttiistuntosi?
Pyydä pääsyä minuuteissa - tai kerro meille eristysvaatimuksistasi.