Ekstern URL

Lad brugere tilføje filer fra eksterne URL’er på en Kubernetes-udrulning, og hold clusterets interne adresser uden for rækkevidde.

„From External URL”-filer (og de filer, som Import API og AI-assistentens web_fetch downloader) hentes af linked-url-proxy-tjenesten i hver Ayakaleaf Pro-pod. Den afviser adresser, der ikke er offentlige, så brugere ikke kan læse interne tjenester gennem den. Funktionen og dens indstillinger er beskrevet i Ekstern URL.

Tjeneste	linked-url-proxy (127.0.0.1:3066 i hver pod); web viser menuen, når url er i ENABLED_LINKED_FILE_TYPES
Pod → omverdenen	de URL’er, brugerne angiver, på en hvilken som helst port, direkte eller via OVERLEAF_LINKED_URL_OUTBOUND_PROXY
Tilstand	ingen
Periodiske job	ingen: en fil opdateres kun, når en bruger beder om det

​

Konfiguration

30-config.yaml (additions)

  ENABLED_LINKED_FILE_TYPES: project_file,project_output_file,url
  # Public addresses of your nodes and load balancer, see below
  OVERLEAF_LINKED_URL_BLOCKED_NETWORKS: 203.0.113.0/24 198.51.100.7/32
  # optional
  # OVERLEAF_LINKED_URL_ALLOWED_RESOURCES: ^https?://www\.example\.com/public/
  # OVERLEAF_LINKED_URL_OUTBOUND_PROXY: http://proxy.example.com:3128

kubectl apply -f 30-config.yaml
kubectl -n overleaf rollout restart deployment/overleaf     # or statefulset/overleaf

​

Hvad der blokeres på Kubernetes

Proxyen afviser alle adresser, der ikke er offentlige unicast-adresser: loopback, link-local (herunder cloud-metadataadressen 169.254.169.254), de private intervaller 10.0.0.0/8, 172.16.0.0/12 og 192.168.0.0/16, carrier-grade NAT-intervallet 100.64.0.0/10 og deres IPv6-modstykker. Pod- og Service-netværk i disse intervaller, hvilket er standard for kubeadm, flannel, Calico og de fleste administrerede clustere, blokeres derfor uden nogen indstilling, og det samme gør de interne clusternavne som redis eller git-bridge, der peger på dem.

Offentlige adresser er tilladt. Hvis dine noder eller din load balancer har offentlige adresser, skal du tilføje dem til OVERLEAF_LINKED_URL_BLOCKED_NETWORKS (adskilt af mellemrum eller kommaer), så brugere ikke kan hente NodePorts eller en statusside gennem dem.

Når OVERLEAF_LINKED_URL_OUTBOUND_PROXY er sat, slås værtsnavne op af proxyen, så kun URL’er, der indeholder en IP-adresse, kontrolleres: proxyen skal selv blokere dine interne netværk.

​

Flere replikaer

Intet ekstra: hver pod henter med sin egen linked-url-proxy og de samme indstillinger.

​

Testet på Kubernetes

På Kubernetes 1.37 med tre replikaer, flannels podnetværk 10.244.0.0/16 og kubeadms servicenetværk 10.96.0.0/12 afviste proxyen downloads fra en Services ClusterIP, fra de interne clusternavne redis, garage og overleaf-1.overleaf-hl.overleaf.svc.cluster.local og fra en nodes adresse, uden nogen OVERLEAF_LINKED_URL_BLOCKED_NETWORKS. Vores end-to-end-test består også for afvisning af loopback og cloud-metadataadressen via Import API og for, at AI-assistenten kun læser de sider, som OVERLEAF_LINKED_URL_ALLOWED_RESOURCES tillader.