Принцип — запрещено всё, что не разрешено явно. Слои защиты: файрвол хоста (nftables/iptables, ufw), облачные security groups у каждой машины, сетевые ACL подсетей, NetworkPolicy в Kubernetes. Наружу открыты только 80/443 балансировщика; БД, кэши и брокеры — только из подсети приложений; SSH — только с bastion или через VPN.
А ещё Docker публикует порты в обход ufw, правя iptables напрямую
Так подсказку видит пользователь sotto на живом собеседовании — за пару секунд, пока вы думаете вслух.
Пример политики для веб-сервиса:
| откуда | куда | порт |
|---|---|---|
| интернет | балансировщик | 443 |
| балансировщик | приложения | 8080 |
| приложения | PostgreSQL | 5432 |
| bastion | все узлы | 22 |
Stateful и stateless. Security groups и nftables с conntrack — stateful: разрешили входящее — ответ пройдёт. Сетевые ACL облака — stateless: нужно явно разрешить и обратное направление (эфемерные порты).
Kubernetes NetworkPolicy: по умолчанию все поды видят друг друга. Политика «запретить всё входящее» на namespace и явные разрешения ограничивают последствия взлома одного сервиса. Работает, только если сетевой плагин поддерживает политики (Calico, Cilium).
Проверка: nmap снаружи — какие порты реально открыты.
sotto слышит вопрос интервьюера и показывает короткий ответ и план, как в блоке «Коротко». Оставьте контакт — пришлём доступ и промокод.
sotto