如何阻止主机在JeroMQ中订阅？

Question

在我们最近的项目中，我们尝试确保pub-sub jeromq连接的安全。

为此，我们希望主机首先通过网络对新主机进行身份验证，并阻止所有未通过身份验证的主机进行订阅。另一个好处是在网络中发送的消息更少。

那么，有没有可能为发布创建白名单呢？

Answer 1

欢迎来到分布式系统。

白名单没有直接的原型，但是需要解决的问题是显而易见的(在4.x+版本中，PUB/SUB主题列表处理中发生了更多的逆转，这会导致处理器端过载的潜在风险，而这在2.x + 3.x版本中是不可能的)。

让我们提出一种多阶段的方法。

如果我们不能阻止，让我们首先在XSUB/XPUB琐碎原型上公开一个反向的.bind()/.connect()，用于初始接触检测，以便检测新成员到来并试图加入生产服务，接下来让我们只允许那些拥有POSACK的成员进入另一个门(悄悄地对那些允许的白名单，而不是其他人)，在那里另一个ZeroMQ基础设施(由琐碎原型组成的信令/消息平面)打开大门，在那里那些预先选择的可以继续进行。同样，反向.bind() / .connect()操作可防止针对公开暴露的接入点的大规模攻击风险。即使对于那些需要非公共地址转换的情况和场景，也存在解决方案(但这些解决方案超出了这里讨论的唯一ZeroMQ工具)。

其他人没有得到在情况下去哪里的细节，他们没有通过认证。

这样你就得到了白名单策略(可以阅读更多关于在安全机制中使用“敲门”的详细信息)。