¿Cuáles son las mejores prácticas para alojar nodos de Tezos con RPC expuestas?

Obien:

• noexponga la RPCen absoluto (!),o
• coloque unproxy alfrente con una listablanca extremadamente restrictiva.

Por supuesto,para que una listablanca le ayude,no debeincluirpuntosfinalespotencialmente dañinosen su listablanca ... Incluso lospuntosfinales aparentementeinofensivospueden usarsepara la denegación de servicio,y algunospuntosfinales son sorprendentemente dañinos.

Either:

• don't expose the RPC at all (!), or
• put a proxy in front with a maximally restrictive whitelist.

Of course, for a whitelist to help, you must not include potentially harmful endpoints in your whitelist... Even seemingly harmless endpoints might be used for denial of service, and some endpoints are surprisingly harmful.

Lo que hacemospara TezRPC (que alimenta a TezBox)esejecutar unproxyen cada servidor. Dentro deesteproxy,puedebloquear,restringir ypersonalizar lospuntos de conexiónpúblicos.

Actualmente usamos unproxy ligero construido con NodeJS,pero cambiaremos a unproxyestilonginx (mejor rendimiento).

Aquí hay unejemplo de unproxynode.js quebloquea casitodos lospuntosfinales (escuchando la API de RPC localen elpuerto 8732):

 var express = require('express');  
var request = require('request');
var app = express();  
var cors = require('cors')
var apiServerHost = "http://localhost:8732";
app.use(cors())
app.use('/', function(req, res) {
    // Whitelist. Be afraid.
    if (req.url === '/chains/main/blocks/head'
          || req.url === '/chains/main/blocks/head/hash') {
        var url = apiServerHost + req.url;
        req.pipe(request(url)).pipe(res);
    } else {
        res.status(404).send('Not available');
    }
});
app.listen(process.env.PORT || 3000, function () {
  console.log('TZProxy running')
})  
 

What we do for TezRPC (which powers TezBox) is run a proxy on each server. Within this proxy, you can then block, restrict and customize public facing endpoints.

We currently use a light proxy built with NodeJS, but will switch over to a nginx style proxy (better performance).

Here is an example of a node.js proxy that blocks almost all endpoints (listening to the local RPC API on port 8732):

var express = require('express');  
var request = require('request');
var app = express();  
var cors = require('cors')
var apiServerHost = "http://localhost:8732";
app.use(cors())
app.use('/', function(req, res) {
    // Whitelist. Be afraid.
    if (req.url === '/chains/main/blocks/head'
          || req.url === '/chains/main/blocks/head/hash') {
        var url = apiServerHost + req.url;
        req.pipe(request(url)).pipe(res);
    } else {
        res.status(404).send('Not available');
    }
});
app.listen(process.env.PORT || 3000, function () {
  console.log('TZProxy running')
})  

Una de las alternativas que seme ocurrenes usar Conseil: https://github.com/Cryptonomic/Conseil

Enmi humildeentendimiento,lo que hace Conseilesproporcionar una APIextendida sobre untezos-node/rpc.Y quizás (?) Algunas características adicionales quepodríanpermitir habilitar/deshabilitarterminales u otrasmedidas de seguridad.

Aquí hay algunosejemplos

One of the alternatives i could think of, is using Conseil: https://github.com/Cryptonomic/Conseil

In my humble understanding what Conseil does, is provide an extended API on top of a tezos-node/rpc. And perhaps (?) some extra features which could allow enabling/disabling endpoints or other security measures.

Here's a few examples

Cuando solonecesitael RPCpara usted,tambiénpuede usarel reenvío depuerto local sshpara reenviarel RPC desdeel localhost de sumáquina remota al localhost de sumáquina local.

Porejemplo,comoprocesoen segundoplano:

 ssh -fNT -L 8732:localhost:8732 user@hostname
 

Sinembargo,no sé quétan seguroesesto.

When you only need the RPC for yourself you could also use ssh local port forwarding to forward the RPC from the localhost of your remote machine to the localhost of your local machine.

For instance, as a background process:

ssh -fNT -L 8732:localhost:8732 user@hostname

I don't know how safe this is though.