Linux netwerkverkeer strikt beperken met Childflow

Netwerkisolatie per commando: een slimme oplossing voor developers

Iedere developer kent het probleem. Je wilt een script of programma draaien, maar hebt geen idee welke netwerkverbindingen het gaat maken. Dat kan een dependency zijn met een onduidelijke updategeschiedenis, een tool die je net aan het uitproberen bent, of je eigen code tijdens het testen. Hoe zorg je dat er niets onverwachts naar buiten lekt?

De traditionele aanpak is vaak alles of niets. Of je geeft volledige netwerktoegang, of je sluit het proces volledig af. Maar dat past niet meer bij de manier waarop we tegenwoordig ontwikkelen. Er is behoefte aan iets gerichters: netwerkisolatie op commando-niveau.

Wat is per-commando netwerkisolatie?

In plaats van een hele container of virtuele machine af te schermen, kun je een specifiek commando of procesboom in een eigen netwerkcontext plaatsen. Dat doe je met tools die gebruikmaken van Linux network namespaces. Het commando draait dan binnen strikte netwerkgrenzen, terwijl de rest van je omgeving gewoon door blijft gaan.

Het resultaat is dat je precies kunt bepalen wat een proces wel of niet mag bereiken via het netwerk. Zonder dat je een compleet nieuwe omgeving hoeft op te zetten.

Waarom commando-niveau de voorkeur heeft

• Minder overhead: Je hoeft geen containers of VMs te starten. De extra belasting blijft beperkt.
• Snel en flexibel: Een test draaien zonder Docker te configureren? Gewoon het commando omhullen met een sandbox.
• Duidelijke audit: Elk commando is traceable. Je weet precies wat je hebt laten draaien en wanneer.
• Veilig experimenteren: Nieuwe of onbekende scripts en tools kun je zonder risico testen.

Waar je het voor kunt gebruiken

• Een nieuwe npm- or pip-package testen zonder dat het ongewenste verbindingen maakt
• Netwerkbeleid afdwingen in CI/CD-pipelines
• Code van meerdere teams of clients veilig naast elkaar laten draaien
• Developers laten experimenteren zonder dat ze root-rechten nodig hebben

Hoe past dit bij je bestaande setup?

Command-level sandboxing werkt goed met Docker en Kubernetes, bijvoorbeeld voor de processen die al in een container zitten. In pipelines kun je netwerkspecifieke beleid toep

<|eos|>