Отключите исходный незащищенный порт Microservice после настройки его в шлюзе

Question

Здравствуйте. Я искал везде и не нашел решения своей проблемы, а именно, как я могу получить доступ к своему API только через конечную точку, настроенную для шлюза, в настоящее время я могу получить доступ к своему API, используя localhost: 9000 и localhost: 8000, который является портом шлюза Kong, который я защищал и настраивал, но какой смысл использовать этот шлюз, если исходный порт все еще доступен. Поэтому мне интересно, есть ли способ отключить порт 9000 и только доступ к моему API с помощью KONG.

Answer 1

Кроме того, можно настроить отдельные роли для нескольких узлов Kong - один (или более) может быть узлами «плоскости управления», к которым имеют доступ только вы, и которые используются для установки и просмотра конфигурации Kong, метрик доступа и т. Д. .

Один (или несколько) других узлов Kong могут быть узлами «плоскости данных», которые принимают и маршрутизируют трафик прокси API, но не принимают никаких команд API Admin Admin. Подробнее см. https://konghq.com/blog/separating-data-control-planes/.

Answer 2

Спасибо за ответы, они дают разные точки зрения, но, поскольку у меня есть микросервис scalla / play, я добавил специальный встроенный http-фильтр Playframework в мой application.conf, а затем разрешил только Kong шлюз, теперь при попытке получить доступ к моему приложению по localhost: 9000 мне отказывают, и это абсолютно то, что я искал.

надеюсь, что этот ответ будет полезен для будущих людей в такой же ситуации.

Answer 3

Брандмауэры / группы безопасности (в облаке), частные (виртуальные) сети и несколько сетевых адаптеров обычно используются для разграничения общего и частного доступа к сети. В облачные вендоры (AWS, Azure и т. Д.) И хостинговые инфраструктуры обычно встроены такие механизмы, например, Kubernetes, Cloud Foundry и др.

В продуктивной среде внешняя конечная точка Kong будет работать с общедоступным сетевым доступом и всеми конечными точками службы в частной сети.

В настоящее время все выполняется локально на одной машине / в сети, поэтому лучше всего использовать брандмауэр для ограничения доступа через порты.