Quais são as melhores práticas para hospedar os nós de Tezos com RPCs expostos?

Ou:

• nãoexponha o RPCem todos (!),ou
• Coloque umproxynafrente com uma clareiramáxima restritiva .

Claro,para um whitelist ajudar,vocênão deveincluirendpointspotencialmenteprejudiciaisem seu whitelist ... Mesmo osendpoints aparentementeinofensivospodem ser usadosparanegação de serviço,e algunspontosfinais são surpreendentementeprejudiciais.

Either:

• don't expose the RPC at all (!), or
• put a proxy in front with a maximally restrictive whitelist.

Of course, for a whitelist to help, you must not include potentially harmful endpoints in your whitelist... Even seemingly harmless endpoints might be used for denial of service, and some endpoints are surprisingly harmful.

O quefazemospara TezRPC (quaispoderestezbox) sãoexecutados umproxyem cada servidor. Dentro desteproxy,vocêpodebloquear,restringire personalizarendpointspúblico voltados.

Atualmente,usamos umproxy leve construído com Nodejs,masirámudarpara umproxy deestilo NginX (melhor desempenho).

Aquiestá umexemplo de umproxy Node.js quebloqueia quasetodos osendpoints (ouvindo a API local RPCnaporta 8732):

 var express = require('express');  
var request = require('request');
var app = express();  
var cors = require('cors')
var apiServerHost = "http://localhost:8732";
app.use(cors())
app.use('/', function(req, res) {
    // Whitelist. Be afraid.
    if (req.url === '/chains/main/blocks/head'
          || req.url === '/chains/main/blocks/head/hash') {
        var url = apiServerHost + req.url;
        req.pipe(request(url)).pipe(res);
    } else {
        res.status(404).send('Not available');
    }
});
app.listen(process.env.PORT || 3000, function () {
  console.log('TZProxy running')
})  
 

What we do for TezRPC (which powers TezBox) is run a proxy on each server. Within this proxy, you can then block, restrict and customize public facing endpoints.

We currently use a light proxy built with NodeJS, but will switch over to a nginx style proxy (better performance).

Here is an example of a node.js proxy that blocks almost all endpoints (listening to the local RPC API on port 8732):

var express = require('express');  
var request = require('request');
var app = express();  
var cors = require('cors')
var apiServerHost = "http://localhost:8732";
app.use(cors())
app.use('/', function(req, res) {
    // Whitelist. Be afraid.
    if (req.url === '/chains/main/blocks/head'
          || req.url === '/chains/main/blocks/head/hash') {
        var url = apiServerHost + req.url;
        req.pipe(request(url)).pipe(res);
    } else {
        res.status(404).send('Not available');
    }
});
app.listen(process.env.PORT || 3000, function () {
  console.log('TZProxy running')
})  

Uma das alternativas queeupoderiapensar,está usando Conseil: https://github.com/cryptonomic/conseil

Nomeu humildeentendimento O que a Conseilfaz,éfornecer uma APIestendidanotopo de umnó de Tezos/RPC.Etalvez (?) Algumas característicasextras quepoderiampermitir ativar/desativarendpoints ou outrasmedidas de segurança.

Aquiestão algunsexemplos

One of the alternatives i could think of, is using Conseil: https://github.com/Cryptonomic/Conseil

In my humble understanding what Conseil does, is provide an extended API on top of a tezos-node/rpc. And perhaps (?) some extra features which could allow enabling/disabling endpoints or other security measures.

Here's a few examples

Quando você sóprecisa do RPCpara simesmo,vocêtambémpode usar oencaminhamento daporta local do SSHparaencaminhar o RPC do Host Host da suamáquina remotapara amáquina local.

Porexemplo,comoprocesso defundo:

 ssh -fNT -L 8732:localhost:8732 user@hostname
 

Eunão sei o quão seguro éembora.

When you only need the RPC for yourself you could also use ssh local port forwarding to forward the RPC from the localhost of your remote machine to the localhost of your local machine.

For instance, as a background process:

ssh -fNT -L 8732:localhost:8732 user@hostname

I don't know how safe this is though.