Ulkoinen URL-osoite

Anna käyttäjien lisätä tiedostoja ulkoisista URL-osoitteista Kubernetes-käyttöönotossa ja pidä klusterin sisäiset osoitteet ulottumattomissa.

”From External URL” -tiedostot (sekä tiedostot, jotka Import API ja tekoälyavustajan web_fetch lataavat) noutaa linked-url-proxy-palvelu jokaisessa Ayakaleaf Pro -podissa. Se hylkää osoitteet, jotka eivät ole julkisia, joten käyttäjät eivät voi lukea sisäisiä palveluita sen kautta. Ominaisuus ja sen asetukset on kuvattu sivulla Ulkoinen URL-osoite.

Palvelu	linked-url-proxy (127.0.0.1:3066 jokaisessa podissa); web näyttää valikon, kun url on mukana muuttujassa ENABLED_LINKED_FILE_TYPES
Pod → ulkoverkko	käyttäjien antamat URL-osoitteet missä tahansa portissa, suoraan tai OVERLEAF_LINKED_URL_OUTBOUND_PROXY-välityspalvelimen kautta
Tila	ei mitään
Ajastetut tehtävät	ei mitään: tiedosto päivitetään vain, kun käyttäjä pyytää

​

Konfiguraatio

30-config.yaml (additions)

  ENABLED_LINKED_FILE_TYPES: project_file,project_output_file,url
  # Public addresses of your nodes and load balancer, see below
  OVERLEAF_LINKED_URL_BLOCKED_NETWORKS: 203.0.113.0/24 198.51.100.7/32
  # optional
  # OVERLEAF_LINKED_URL_ALLOWED_RESOURCES: ^https?://www\.example\.com/public/
  # OVERLEAF_LINKED_URL_OUTBOUND_PROXY: http://proxy.example.com:3128

kubectl apply -f 30-config.yaml
kubectl -n overleaf rollout restart deployment/overleaf     # or statefulset/overleaf

​

Mitä Kubernetesissa estetään

Välityspalvelin hylkää jokaisen osoitteen, joka ei ole julkinen unicast-osoite: loopback, link-local (mukaan lukien pilven metatieto-osoite 169.254.169.254), yksityiset osoitealueet 10.0.0.0/8, 172.16.0.0/12 ja 192.168.0.0/16, carrier-grade NAT -alue 100.64.0.0/10 sekä niiden IPv6-vastineet. Näillä alueilla olevat pod- ja Service-verkot, mikä on oletus kubeadmissa, flannelissa, Calicossa ja useimmissa hallinnoiduissa klustereissa, estetään siksi ilman mitään asetusta, ja samoin klusterin sisäiset nimet, kuten redis tai git-bridge, jotka ratkeavat niihin.

Julkiset osoitteet sallitaan. Jos solmuillasi tai kuormantasaajallasi on julkiset osoitteet, lisää ne muuttujaan OVERLEAF_LINKED_URL_BLOCKED_NETWORKS (välilyönneillä tai pilkuilla erotettuina), jotta käyttäjät eivät voi noutaa NodePort-portteja tai tilasivua niiden kautta.

Kun OVERLEAF_LINKED_URL_OUTBOUND_PROXY on asetettu, välityspalvelin ratkaisee isäntänimet, joten vain IP-osoitteen sisältävät URL-osoitteet tarkistetaan: välityspalvelimen on itse estettävä sisäiset verkkosi.

​

Useita replikoita

Mitään ylimääräistä ei tarvita: kukin pod noutaa omalla linked-url-proxyllaan samoilla asetuksilla.

​

Testattu Kubernetesissa

Kubernetes 1.37:ssä kolmella replikalla, flannelin pod-verkolla 10.244.0.0/16 ja kubeadmin service-verkolla 10.96.0.0/12, välityspalvelin hylkäsi lataukset Servicen ClusterIP-osoitteesta, klusterin sisäisistä nimistä redis, garage ja overleaf-1.overleaf-hl.overleaf.svc.cluster.local sekä solmun osoitteesta ilman mitään OVERLEAF_LINKED_URL_BLOCKED_NETWORKS-asetusta. Päästä päähän -testimme menevät läpi myös loopbackin ja pilven metatieto-osoitteen hylkäämisestä Import API:n kautta sekä siitä, että tekoälyavustaja lukee vain sivuja, jotka OVERLEAF_LINKED_URL_ALLOWED_RESOURCES sallii.