Restrict worker pod egress to the egress gateway and DNS
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 3/5
- Tempo stimato
- 1-2 giorni
- Idoneità per principianti
- 52/100
- Tipo di issue
- Funzionalità
- Chiarezza
- Specificata chiaramente
- Stato di attività
- Attiva
- Stack tecnologico
- go, kubernetes
- Ambito
- networking, security
Direzione di ricerca
Start in ate-controller, where the per-WorkerPool NetworkPolicy is built, and read its existing ingress rules and tests. Add egress rules for the egress gateway’s named https port and port 53, and narrow atenet-router ingress to atunnel’s https and connect ports. Update or add policy tests to cover those rules and the stated DNS and OTLP trade-offs.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Worker pods run untrusted actor sandboxes. The sandbox's own traffic goes through atunnel to the egress gateway, but the worker pod's network namespace has no egress restriction. Code that escapes the sandbox into the worker pod can reach any pod or Service in the cluster, and the node's cloud metadata server.
The per-WorkerPool NetworkPolicy from ate-controller covers only ingress today. The worker pod only needs:
- TCP to the egress gateway (
app: atenet-egress, named porthttps: 443 on Envoy, 8443 on agentgateway) - port 53, for the DNS relay and Service lookups
Proposal: add Egress to the per-WorkerPool policy with those two rules, and narrow ingress from atenet-router to atunnel's https and connect ports. Port 53 is open to any destination because the relay forwards to whatever the pod's resolv.conf names: kube-dns pods, a node-local cache, or a custom resolver. Selectors or a fixed IP would break some of those.
Trade-off: workers that export OTLP directly, on nodes without an atelet relay, can no longer reach the collector. The relay is the default path.
- Lingua principale
- Go
- Stelle
- 6.1k
- Fork
- 676
- Merge medio
- 2g 2h
- PR unite (30g)
- 522
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Ha un modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di agent-substrate/substrate
-
Clean up the ko retry testsForse già presa Una pull request collegata a questa issue è aperta o già unita. Apertaarea/dev-infra area/reliability area/tests kind/cleanup
Difficoltà 2/5 1-3 ore Idoneità per principianti 66/100
agent-substrate/substrate#3461 ·
I maintainer di solito rispondono entro 1 giorno
-
egress: drop the empty-provider check in providerCredentialForse già presa @cloudonly l’ha presa 5 giorni fa. Apertaarea/network kind/cleanup
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
agent-substrate/substrate#3428 ·
I maintainer di solito rispondono entro 1 giorno
-
kubectl-ate create actor-template -f <file> fails with useless errorForse già presa @cloudonly l’ha presa 7 giorni fa. Apertaarea/cli kind/bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100
agent-substrate/substrate#3406 ·
I maintainer di solito rispondono entro 1 giorno
-
k8s-credential-provider manifest is missing ate-otel-config envFrom, failing OTLP metric exports to [::1]:4317 / 127.0.0.1:4317 every 60sForse già presa @ericcurtin l’ha presa 8 giorni fa. Apertaarea/dev-infra area/observability area/security kind/bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
agent-substrate/substrate#3282 ·
I maintainer di solito rispondono entro 1 giorno
-
filecachegc.runPass suppresses eviction logs when FreedBytes < target and consecutiveShortfalls > 3Forse già presa @ericcurtin l’ha presa 7 giorni fa. Apertaarea/node area/observability area/storage kind/bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
agent-substrate/substrate#3281 ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di agent-substrate/substrate
Issue simili
-
needs-triage
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
I maintainer di solito rispondono entro 1 giorno
-
WriterSetTimes: the UTIME_NOW check fails when the kernel uses its coarse clockForse già presa @JakeChampion l’ha presa oggi. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
JakeChampion/lang#14224 ·
I maintainer di solito rispondono entro 1 giorno
-
agent-butler-finding bug
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 88/100
jordansmall/spindrift#6391 ·
I maintainer di solito rispondono entro 1 giorno
-
common.Retry: data race on the shared response/err variables when the request context ends mid-attempt (v65.127.0, v65.128.0)Forse già presa @kmohit00 l’ha presa oggi. Aperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
oracle/oci-go-sdk#676 ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100
SAP/crossplane-provider-btp#1175 ·
I maintainer di solito rispondono entro 1 giorno