Was sind die besten Praktiken für das Hosting von Tezos-Knoten mit exponierten RPCs?

entweder:

.
• Setzen Sie den RPCnicht überhaupt (!) oder
aus
• Setzen Sieeinen Proxymit einemmaximal restriktiven whitelist ein.

Natürlich,umeinen Whitelisten zu helfen,dürfen Sienichtpotenziell schädliche Endpunktein Ihre Whitelisteinschließen ... Sogar scheinbar harmlose Endpunkte könnenfür den Dauer des Dienstes verwendet werden,undeinige Endpunkte sind überraschend schädlich.

Either:

• don't expose the RPC at all (!), or
• put a proxy in front with a maximally restrictive whitelist.

Of course, for a whitelist to help, you must not include potentially harmful endpoints in your whitelist... Even seemingly harmless endpoints might be used for denial of service, and some endpoints are surprisingly harmful.

Was wirfür Tezrpctun (welche Power TEZBOX) aufjedem Serverein Proxy ausführen wird. Innerhalb dieses Proxys können Sie öffentliche Endpunkteblockieren,einschränken und anpassen.

Wir verwenden derzeiteinen mit Nodejsgebauten leichten Proxy,derjedoch zueinem NginX-Style-Proxy (bessere Leistung) umgewandelt wird.

Hieristein Beispieleines Node.js-Proxy,derfast alle Endpunkteblockiert (hört auf die lokale RPC-API auf Port 8732):

 var express = require('express');  
var request = require('request');
var app = express();  
var cors = require('cors')
var apiServerHost = "http://localhost:8732";
app.use(cors())
app.use('/', function(req, res) {
    // Whitelist. Be afraid.
    if (req.url === '/chains/main/blocks/head'
          || req.url === '/chains/main/blocks/head/hash') {
        var url = apiServerHost + req.url;
        req.pipe(request(url)).pipe(res);
    } else {
        res.status(404).send('Not available');
    }
});
app.listen(process.env.PORT || 3000, function () {
  console.log('TZProxy running')
})  
 

What we do for TezRPC (which powers TezBox) is run a proxy on each server. Within this proxy, you can then block, restrict and customize public facing endpoints.

We currently use a light proxy built with NodeJS, but will switch over to a nginx style proxy (better performance).

Here is an example of a node.js proxy that blocks almost all endpoints (listening to the local RPC API on port 8732):

var express = require('express');  
var request = require('request');
var app = express();  
var cors = require('cors')
var apiServerHost = "http://localhost:8732";
app.use(cors())
app.use('/', function(req, res) {
    // Whitelist. Be afraid.
    if (req.url === '/chains/main/blocks/head'
          || req.url === '/chains/main/blocks/head/hash') {
        var url = apiServerHost + req.url;
        req.pipe(request(url)).pipe(res);
    } else {
        res.status(404).send('Not available');
    }
});
app.listen(process.env.PORT || 3000, function () {
  console.log('TZProxy running')
})  

Einer der Alternativen,an dieich denken konnte,nutzt Conseil: https://github.com/cryptonomic/conseil

Inmeinem bescheidenen Verständnis,welches Conseilist,lieferteine erweiterte API aufeinem Tezos-Knoten/RPC.Und vielleicht (?) Einige zusätzliche Funktionen,die die Aktivierung/Deaktivierung von Endpunkten oder anderen Sicherheitsmaßnahmenermöglichen könnten.

Hier sindein paar Beispiele

One of the alternatives i could think of, is using Conseil: https://github.com/Cryptonomic/Conseil

In my humble understanding what Conseil does, is provide an extended API on top of a tezos-node/rpc. And perhaps (?) some extra features which could allow enabling/disabling endpoints or other security measures.

Here's a few examples

Wenn Sienur den RPCfür sich selbstbenötigen,können Sie auch SSH-Local-Portweiterleitung verwenden,um den RPC von der LOCALHOST Ihrer Remote-Maschine an die Lokalhost Ihres lokalen Computers weiterzuleiten.

zum Beispiel als Hintergrundvorgang:

  SSH -FNT -L 8732: localhost: 8732 Benutzer @ Hostname
 

Ich weißnicht,wie sicher dasist.

When you only need the RPC for yourself you could also use ssh local port forwarding to forward the RPC from the localhost of your remote machine to the localhost of your local machine.

For instance, as a background process:

ssh -fNT -L 8732:localhost:8732 user@hostname

I don't know how safe this is though.