公開されたRPCでTezosノードをホストするためのベストプラクティスは何ですか？

どちらか:

• RPCをまったく公開しない(！)、または
• 最大限に制限されたホワイトリストを使用してプロキシを前面に配置します.

もちろん、ホワイトリストが役立つためには、潜在的に有害なエンドポイントをホワイトリストに含めてはなりません...一見無害に見えるエンドポイントでさえサービス拒否に使用される可能性があり、一部のエンドポイントは驚くほど有害です.

Either:

• don't expose the RPC at all (!), or
• put a proxy in front with a maximally restrictive whitelist.

Of course, for a whitelist to help, you must not include potentially harmful endpoints in your whitelist... Even seemingly harmless endpoints might be used for denial of service, and some endpoints are surprisingly harmful.

TezRPC(TezBoxを強化する)に対して行うことは、各サーバーでプロキシを実行することです.このプロキシ内で、公開エンドポイントをブロック、制限、カスタマイズできます.

現在、NodeJSで構築されたライトプロキシを使用していますが、nginxスタイルのプロキシに切り替えます(パフォーマンスが向上します).

これは、ほぼすべてのエンドポイントをブロックするnode.jsプロキシの例です(ポート8732でローカルRPC APIをリッスンします):

 var express = require('express');  
var request = require('request');
var app = express();  
var cors = require('cors')
var apiServerHost = "http://localhost:8732";
app.use(cors())
app.use('/', function(req, res) {
    // Whitelist. Be afraid.
    if (req.url === '/chains/main/blocks/head'
          || req.url === '/chains/main/blocks/head/hash') {
        var url = apiServerHost + req.url;
        req.pipe(request(url)).pipe(res);
    } else {
        res.status(404).send('Not available');
    }
});
app.listen(process.env.PORT || 3000, function () {
  console.log('TZProxy running')
})  
 

What we do for TezRPC (which powers TezBox) is run a proxy on each server. Within this proxy, you can then block, restrict and customize public facing endpoints.

We currently use a light proxy built with NodeJS, but will switch over to a nginx style proxy (better performance).

Here is an example of a node.js proxy that blocks almost all endpoints (listening to the local RPC API on port 8732):

var express = require('express');  
var request = require('request');
var app = express();  
var cors = require('cors')
var apiServerHost = "http://localhost:8732";
app.use(cors())
app.use('/', function(req, res) {
    // Whitelist. Be afraid.
    if (req.url === '/chains/main/blocks/head'
          || req.url === '/chains/main/blocks/head/hash') {
        var url = apiServerHost + req.url;
        req.pipe(request(url)).pipe(res);
    } else {
        res.status(404).send('Not available');
    }
});
app.listen(process.env.PORT || 3000, function () {
  console.log('TZProxy running')
})  

私が考えることができる代替案の1つは、Conseilを使用することです. https://github.com/Cryptonomic/Conseil

Conseilが何をするかについての私の謙虚な理解では、tezos-node/rpcの上に拡張APIを提供することです.そしておそらく(?)エンドポイントやその他のセキュリティ対策を有効/無効にすることができるいくつかの追加機能.

ここにいくつかの例があります

One of the alternatives i could think of, is using Conseil: https://github.com/Cryptonomic/Conseil

In my humble understanding what Conseil does, is provide an extended API on top of a tezos-node/rpc. And perhaps (?) some extra features which could allow enabling/disabling endpoints or other security measures.

Here's a few examples

自分だけのRPCが必要な場合は、sshローカルポート転送を使用して、RPCをリモートマシンのローカルホストからローカルマシンのローカルホストに転送することもできます.

たとえば、バックグラウンドプロセスとして:

 ssh -fNT -L 8732:localhost:8732 user@hostname
 

これがどれほど安全かはわかりませんが.

When you only need the RPC for yourself you could also use ssh local port forwarding to forward the RPC from the localhost of your remote machine to the localhost of your local machine.

For instance, as a background process:

ssh -fNT -L 8732:localhost:8732 user@hostname

I don't know how safe this is though.