Ekstern URL

La brukere legge til filer fra eksterne URL-er i en Kubernetes-distribusjon, og hold klyngens interne adresser utenfor rekkevidde.

«From External URL»-filer (og filene som Import API og AI-assistentens web_fetch laster ned) hentes av linked-url-proxy-tjenesten i hver Ayakaleaf Pro-pod. Den avviser adresser som ikke er offentlige, så brukere kan ikke lese interne tjenester gjennom den. Funksjonen og innstillingene er beskrevet i Ekstern URL.

Tjeneste	linked-url-proxy (127.0.0.1:3066 i hver pod); web viser menyen når url er i ENABLED_LINKED_FILE_TYPES
Pod → utsiden	URL-ene brukerne oppgir, på hvilken som helst port, direkte eller via OVERLEAF_LINKED_URL_OUTBOUND_PROXY
Tilstand	ingen
Periodiske jobber	ingen: en fil oppdateres bare når en bruker ber om det

​

Konfigurasjon

30-config.yaml (additions)

  ENABLED_LINKED_FILE_TYPES: project_file,project_output_file,url
  # Public addresses of your nodes and load balancer, see below
  OVERLEAF_LINKED_URL_BLOCKED_NETWORKS: 203.0.113.0/24 198.51.100.7/32
  # optional
  # OVERLEAF_LINKED_URL_ALLOWED_RESOURCES: ^https?://www\.example\.com/public/
  # OVERLEAF_LINKED_URL_OUTBOUND_PROXY: http://proxy.example.com:3128

kubectl apply -f 30-config.yaml
kubectl -n overleaf rollout restart deployment/overleaf     # or statefulset/overleaf

​

Hva som blokkeres på Kubernetes

Proxyen avviser alle adresser som ikke er offentlige unicast-adresser: loopback, link-local (inkludert skyens metadataadresse 169.254.169.254), de private områdene 10.0.0.0/8, 172.16.0.0/12 og 192.168.0.0/16, carrier-grade NAT-området 100.64.0.0/10, og tilsvarende IPv6-områder. Pod- og Service-nettverk i disse områdene, som er standard for kubeadm, flannel, Calico og de fleste administrerte klynger, blokkeres derfor uten noen innstilling, og det gjør også interne klyngenavn som redis eller git-bridge som slås opp til dem.

Offentlige adresser er tillatt. Hvis nodene eller lastbalansereren din har offentlige adresser, legger du dem til i OVERLEAF_LINKED_URL_BLOCKED_NETWORKS (atskilt med mellomrom eller komma), slik at brukere ikke kan hente NodePorts eller en statusside gjennom dem.

Når OVERLEAF_LINKED_URL_OUTBOUND_PROXY er satt, slås vertsnavn opp av proxyen, så bare URL-er som inneholder en IP-adresse, kontrolleres: proxyen må selv blokkere de interne nettverkene dine.

​

Flere replikaer

Ingenting ekstra: hver pod henter med sin egen linked-url-proxy og de samme innstillingene.

​

Testet på Kubernetes

På Kubernetes 1.37 med tre replikaer, flannels podnettverk 10.244.0.0/16 og kubeadms tjenestenettverk 10.96.0.0/12, avviste proxyen nedlastinger fra en Services ClusterIP, fra de interne klyngenavnene redis, garage og overleaf-1.overleaf-hl.overleaf.svc.cluster.local, og fra en nodes adresse, uten noen OVERLEAF_LINKED_URL_BLOCKED_NETWORKS. Ende-til-ende-testene våre består også for avvisning av loopback og skyens metadataadresse via Import API, og for at AI-assistenten bare leser sidene som OVERLEAF_LINKED_URL_ALLOWED_RESOURCES tillater.