Каковы лучшие практики для размещения узлов Tezos с открытыми RPC?

Либо:

• вообще не показывать RPC (!) или
• поместите прокси впереди с максимально ограниченным белым списком .

Конечно,чтобы белый список помог,вы не должны включать потенциально опасные конечные точки в свой белый список ... Даже кажущиеся безобидными конечные точки могут использоваться для отказа в обслуживании,а некоторые конечные точки на удивление вредны.

Either:

• don't expose the RPC at all (!), or
• put a proxy in front with a maximally restrictive whitelist.

Of course, for a whitelist to help, you must not include potentially harmful endpoints in your whitelist... Even seemingly harmless endpoints might be used for denial of service, and some endpoints are surprisingly harmful.

Что мы делаем для TezRPC (который поддерживает TezBox),так это запускаем прокси на каждом сервере. Затем в этом прокси-сервере вы можете блокировать,ограничивать и настраивать общедоступные конечные точки.

В настоящее время мы используем легкий прокси,созданный с помощью NodeJS,но перейдем на прокси в стилеnginx (лучшая производительность).

Вот пример прокси-сервераnode.js,который блокирует почти все конечные точки (прослушивая локальный RPC API на порту 8732):

 var express = require('express');  
var request = require('request');
var app = express();  
var cors = require('cors')
var apiServerHost = "http://localhost:8732";
app.use(cors())
app.use('/', function(req, res) {
    // Whitelist. Be afraid.
    if (req.url === '/chains/main/blocks/head'
          || req.url === '/chains/main/blocks/head/hash') {
        var url = apiServerHost + req.url;
        req.pipe(request(url)).pipe(res);
    } else {
        res.status(404).send('Not available');
    }
});
app.listen(process.env.PORT || 3000, function () {
  console.log('TZProxy running')
})  
 

What we do for TezRPC (which powers TezBox) is run a proxy on each server. Within this proxy, you can then block, restrict and customize public facing endpoints.

We currently use a light proxy built with NodeJS, but will switch over to a nginx style proxy (better performance).

Here is an example of a node.js proxy that blocks almost all endpoints (listening to the local RPC API on port 8732):

var express = require('express');  
var request = require('request');
var app = express();  
var cors = require('cors')
var apiServerHost = "http://localhost:8732";
app.use(cors())
app.use('/', function(req, res) {
    // Whitelist. Be afraid.
    if (req.url === '/chains/main/blocks/head'
          || req.url === '/chains/main/blocks/head/hash') {
        var url = apiServerHost + req.url;
        req.pipe(request(url)).pipe(res);
    } else {
        res.status(404).send('Not available');
    }
});
app.listen(process.env.PORT || 3000, function () {
  console.log('TZProxy running')
})  

Одна из альтернатив,о которых я мог подумать,- использовать Conseil: https://github.com/Cryptonomic/Conseil

Насколько я понимаю,Conseil предоставляет расширенный API поверхtezos-node/rpc.И,возможно (?) Некоторые дополнительные функции,которые позволят включать/отключать конечные точки или другие меры безопасности.

Вот несколько примеров

One of the alternatives i could think of, is using Conseil: https://github.com/Cryptonomic/Conseil

In my humble understanding what Conseil does, is provide an extended API on top of a tezos-node/rpc. And perhaps (?) some extra features which could allow enabling/disabling endpoints or other security measures.

Here's a few examples

Если вам нужен только RPC,вы также можете использовать перенаправление локального порта ssh для перенаправления RPC с локального хоста вашего удаленного компьютера на локальный хост вашего локального компьютера.

Например,как фоновый процесс:

 ssh -fNT -L 8732:localhost:8732 user@hostname
 

Я не знаю,насколько это безопасно.

When you only need the RPC for yourself you could also use ssh local port forwarding to forward the RPC from the localhost of your remote machine to the localhost of your local machine.

For instance, as a background process:

ssh -fNT -L 8732:localhost:8732 user@hostname

I don't know how safe this is though.