ray open ports checker

레이 오픈 포트 검사기

이 저장소에는 신뢰할 수 없는 클라이언트가 클러스터에서 임의의 코드를 실행할 수 있는 방식으로 클러스터가 잘못 구성되지 않았는지 Ray 사용자가 확인할 수 있도록 Ray 프로젝트에서 출시하는 유틸리티가 포함되어 있습니다.

이것은 무엇을 합니까?

이는 클러스터 전체에서 일련의 Ray 작업을 실행하여 Ray가 현재 사용 중인 포트 목록을 수집합니다. 그런 다음 각 노드는 공용 인터넷에서 실행되는 Ray 팀이 운영하는 서비스에 로컬 활성 포트 세트를 보낸 다음 다시 연결을 시도하고 액세스 가능한지 확인합니다. 액세스 가능한 항목이 있으면 스크립트가 세부 정보를 보고합니다.

알려진 제한사항

• 이 도구는 대칭 인바운드 및 아웃바운드 네트워크 구성에 따라 달라집니다. 포트 리디렉션, 다른 IP 주소에 대한 연결 라우팅 등을 포함하여 이를 수정하는 사용자 지정 방화벽 규칙이나 NAT 규칙을 사용하는 경우 이 도구를 사용하면 거짓 부정이 발생할 수 있습니다.
• kubernetes(KubeRay를 통해) 또는 기타 컨테이너 기반 배포 메커니즘에서 실행되는 클러스터는 거짓음성을 초래할 수 있습니다. 이는 Ray가 실행 중이라고 믿는 포트가 기본 호스트의 포트 또는 호스트 주변의 네트워크 토폴로지를 올바르게 반영하지 않을 수 있기 때문입니다.

예제 출력

열린 포트가 감지되지 않았습니다.

 Cluster has 26 node(s). Scheduling tasks on each to check for exposed ports
[?] No open ports detected checked_ports=[6822, 6823, 8076, 8085, 8912, 10002, 44973] node='defb6868434e23ba21c3f9fc84ec523f1378b11e5d289547234edb07'
[...]
[?] No open ports detected checked_ports=[6822, 6823, 8076, 8085, 8912, 10002, 10003, 10004, 10005, 60094] node='d368a5fdbe8147bdefafbf9eb4358eae796c168f24f1b297e13a0af6'
Check complete, results:
[?] No open ports detected from any Ray nodes

열린 포트가 감지되었습니다.

 Cluster has 26 node(s). Scheduling tasks on each to check for exposed ports
[?] No open ports detected checked_ports=[6822, 6823, 8076, 8085, 8912, 10002, 44973] node='defb6868434e23ba21c3f9fc84ec523f1378b11e5d289547234edb07'
[...]
[?] open ports detected open_ports=[8265] node='53fca104c1bb17cd3e996b01e0900aa2a24c2f473d845f56eb3f7aa2'
[...]
[?] No open ports detected checked_ports=[6822, 6823, 8076, 8085, 8912, 10002, 10003, 10004, 10005, 60094] node='d368a5fdbe8147bdefafbf9eb4358eae796c168f24f1b297e13a0af6'
Check complete, results:
[?] An server on the internet was able to open a connection to one of this Ray
cluster's public IP on one of Ray's internal ports. If this is not a false
positive, this is an extremely unsafe configuration for Ray to be running in.
Ray is not meant to be exposed to untrusted clients and will allow them to run
arbitrary code on your machine.

You should take immediate action to validate this result and if confirmed shut
down your Ray cluster immediately and take appropriate action to remediate its
exposure. Anything either running on this Ray cluster or that this cluster has
had access to could be at risk.

For guidance on how to operate Ray safely, please review [Ray's security
documentation](https://docs.ray.io/en/master/ray-security/index.html).

지침

검사기 스크립트(checker.py)는 이 저장소의 루트에서 찾을 수 있습니다. Ray 자체 외에는 종속성이 전혀 없는 단일 파일 Python 스크립트로 배포하기가 쉽습니다.

배포 아이디어:

• 헤드 노드에 복사하고 실행합니다.
• Ray Job 제출 API 사용
• 레이 클라이언트 사용

Q&A:

• 이것이 순수 오프라인으로 실행될 수 없는 이유는 무엇입니까? / 왜 외부 서버와 대화해야 합니까?

  • 로컬 네트워크 구성은 오해의 소지가 있을 수 있습니다. 0.0.0.0에 대한 소프트웨어 바인딩은 대부분의 배포 시나리오에서 인터넷에 액세스할 수 있다는 의미는 아닙니다.
  • 인터넷 서버에 대해 엔드투엔드 검사를 수행함으로써 오탐 가능성이 줄어듭니다.
  • 또한: Ray Teams의 호스팅 서버를 사용하고 싶지 않은 경우 직접 호스팅할 수 있습니다. 전체 소스 코드는 server 폴더에 있습니다.

• 다른 옵션은 무엇입니까?

  • 이 스크립트는 Ray 클러스터의 모든 노드를 식별하고 액세스할 수 있는 TCP 포트가 있는지 인터넷의 서버에 요청하는 프로세스를 자동화합니다. 공개적으로 사용 가능한 포트 검색 도구를 사용하여 유사한 검사를 수행할 수 있습니다.
  • 이것이 어떻게 작동하는지 자유롭게 검토하고 필요에 맞게 조정하십시오. 기본적으로 작동해야 하지만 필요에 맞게 자유롭게 사용자 정의하십시오.

은둔

Anyscale의 호스팅 서버를 활용하는 경우: 당사는 Ray를 개선하고 이러한 잘못된 구성이 계속해서 문제가 되는 정도를 판단하기 위해 서버에 전송된 당사의 개인 정보 보호 정책에 따라 정보(예: IP 주소, 열린 포트)를 수집할 수 있습니다. .