ray open ports checkerダウンロード - ray open ports checkerソースコードのダウンロード

ray open ports checker

その他のソースコード

1.0.0

ダウンロード

Ray オープンポートチェッカー

このリポジトリには、信頼できないクライアントがクラスター上で任意のコードを実行できるような方法でクラスターが誤って構成されていないことを Ray ユーザーが検証できるように、Ray プロジェクトがリリースしているユーティリティが含まれています。

これは何をするのでしょうか?

クラスター全体で一連の Ray タスクを実行し、Ray が現在使用しているポートのリストを収集します。次に、各ノードはローカルのアクティブポートのセットを、パブリックインターネット上で実行されている Ray チームが運営するサービスに送信し、接続を試みてアクセス可能かどうかを検証します。アクセス可能であることが判明した場合、スクリプトは詳細を報告します。

既知の制限事項

このツールは、対称的な受信および送信ネットワーク構成に依存します。ポートのリダイレクトや異なる IP アドレス間での接続のルーティングなど、それを変更するカスタムファイアウォールルールまたは NAT ルールを使用している場合、このツールを使用すると誤検知が発生する可能性があります。
kubernetes (KubeRay 経由) またはその他のコンテナーベースのデプロイメントメカニズム上で実行されているクラスターでは、偽陰性が発生する可能性があります。これは、Ray が実行していると認識しているポートが、基盤となるホストのポート、またはホスト周辺のネットワークトポロジを正しく反映していない可能性があるためです。

出力例

開いているポートが検出されませんでした

 Cluster has 26 node(s). Scheduling tasks on each to check for exposed ports
[?] No open ports detected checked_ports=[6822, 6823, 8076, 8085, 8912, 10002, 44973] node='defb6868434e23ba21c3f9fc84ec523f1378b11e5d289547234edb07'
[...]
[?] No open ports detected checked_ports=[6822, 6823, 8076, 8085, 8912, 10002, 10003, 10004, 10005, 60094] node='d368a5fdbe8147bdefafbf9eb4358eae796c168f24f1b297e13a0af6'
Check complete, results:
[?] No open ports detected from any Ray nodes

開いているポートが検出されました

 Cluster has 26 node(s). Scheduling tasks on each to check for exposed ports
[?] No open ports detected checked_ports=[6822, 6823, 8076, 8085, 8912, 10002, 44973] node='defb6868434e23ba21c3f9fc84ec523f1378b11e5d289547234edb07'
[...]
[?] open ports detected open_ports=[8265] node='53fca104c1bb17cd3e996b01e0900aa2a24c2f473d845f56eb3f7aa2'
[...]
[?] No open ports detected checked_ports=[6822, 6823, 8076, 8085, 8912, 10002, 10003, 10004, 10005, 60094] node='d368a5fdbe8147bdefafbf9eb4358eae796c168f24f1b297e13a0af6'
Check complete, results:
[?] An server on the internet was able to open a connection to one of this Ray
cluster's public IP on one of Ray's internal ports. If this is not a false
positive, this is an extremely unsafe configuration for Ray to be running in.
Ray is not meant to be exposed to untrusted clients and will allow them to run
arbitrary code on your machine.

You should take immediate action to validate this result and if confirmed shut
down your Ray cluster immediately and take appropriate action to remediate its
exposure. Anything either running on this Ray cluster or that this cluster has
had access to could be at risk.

For guidance on how to operate Ray safely, please review [Ray's security
documentation](https://docs.ray.io/en/master/ray-security/index.html).

説明書

チェッカースクリプト (checker.py) は、このリポジトリのルートにあります。これは、Ray 自体以外の依存関係のない単一ファイルの Python スクリプトであるため、簡単にデプロイできるように設計されています。

導入のアイデア:

ヘッドノードにコピーして実行します
Ray ジョブ送信 API を使用する
Ray クライアントを使用する

Q&A:

なぜ純粋にオフラインで実行できないのでしょうか? / なぜ外部サーバーと通信する必要があるのですか?
- ローカルネットワーク構成は誤解を招く可能性があるソフトウェアが 0.0.0.0 にバインドされていても、大多数の展開シナリオでは、インターネットにアクセスできることを意味しません。
- インターネット上のサーバーに対してエンドツーエンドのチェックを実行することで、誤検知の可能性が減ります。
- また: Ray Teams がホストするサーバーを使用したくない場合は、独自のサーバーをホストすることもできます。完全なソースコードはserverフォルダーにあります。
他にどのような選択肢がありますか?
- このスクリプトは、Ray クラスター内のすべてのノードを識別し、インターネット上のサーバーにアクセス可能な TCP ポートがあるかどうかを問い合わせるプロセスを自動化します。公開されているポートスキャンツールのいずれかを使用して、同様のチェックを実行できます。
- これがどのように機能するかを自由に調べて、ニーズに合わせて調整してください。そのまま使用しても問題ありませんが、ニーズに合わせて自由にカスタマイズしてください。