GitLab Proxy: Paylaşımlı Erişim, API Sınırları ve Nesne Deposu Yolu

GitLab’ı iki farklı biçimde kullanabilirsiniz: sağlayıcının işlettiği bulut örneğinde ya da kendi sunucunuza kurduğunuz bir kopyada. Bu ayrım proxy kararını baştan değiştirir, çünkü ikinci durumda hedef adres sizin denetiminizdedir ve trafiğin bir kısmı hiç dış ağa çıkmaz.

İkinci ayrım istemci tarafındadır. Tarayıcı, git istemcisi, sürekli tümleştirme koşucusu ve betikler farklı yapılandırmaları okur. Koşucular çoğu zaman ortam değişkenlerine bakar; bu da hangi adreslerin kapsam dışında tutulacağını belirleyen listenin doğru yazılmasını kritik hâle getirir.

Üçüncüsü ise indirme davranışıdır: artefakt ve büyük dosya içerikleri çoğu kurulumda ana uygulamadan değil bir nesne deposundan servis edilir. Aşağıdaki bölümler bu üç konuyu ayrı ayrı açıyor.

Bulut örneği ile kendi sunucunuzdaki kurulum aynı şeyi gerektirmez

Sağlayıcının işlettiği örnekte hedef adres dış ağdadır ve bütün istemcileriniz internete çıkarak konuşur. Burada proxy’nin işlevi çıkışı denetlemek, kurumsal ağdan sabit bir adresle konuşmak ya da bölgesel bir görünümü doğrulamaktır. Kural yazmak görece basittir çünkü hedef tek bir alan adı ailesidir.

Kendi sunucunuzdaki kurulumda tablo tersine döner. Uygulama iç ağda çalışıyorsa ona giden trafiğin proxy’ye uğraması çoğu zaman gereksizdir, hatta zararlıdır: iç adresleri dış çıkışa yönlendirmek bağlantıyı tamamen koparabilir. Bu yüzden kapsam dışı bırakılacak adreslerin listesi, proxy adresinin kendisi kadar önemlidir.

Karma senaryolar da sık görülür: uygulama iç ağda, ancak konteyner imajları ve paket bağımlılıkları dışarıdan çekiliyor olabilir. Böyle bir kurulumda kural şu şekilde kurulur: iç adresler doğrudan, dış adresler proxy üzerinden.

Bir başka fark yedeklilik tarafındadır. Bulut örneğinde erişilebilirlik sağlayıcının sorumluluğundadır; kendi sunucunuzdaki kurulumda ise proxy, istemci ile uygulama arasında yeni bir tek hata noktası yaratır. Bu katmanı eklemeden önce proxy düştüğünde hangi işlerin duracağını yazılı olarak listeleyin ve en azından dağıtım hattı için bir yedek yol tanımlayın.

Hangi kurulumda olursanız olun, ilk adım hedef listesini yazmaktır. Uygulamanın kendisi, paket kayıt defteri, konteyner kayıt defteri ve nesne deposu ayrı adreslerde olabilir; hepsini tek tek not edin. Forward ve reverse proxy farkı yazısı, hangi yönde çalıştığınızı netleştirmek için iyi bir başlangıçtır.

Ekip erişimini tek bir çıkış düzenine oturtmak

Bir depoya erişen herkes aynı yerden bağlanmaz: şirket içi geliştiriciler ofis ağından, uzaktan çalışanlar ev bağlantısından, dış ajanslar ise tamamen farklı bir ülkeden gelebilir. Erişimin belirli adreslerle sınırlandırıldığı kurulumlarda bu dağınıklık doğrudan bir erişim sorununa dönüşür.

Ortak bir çıkış tanımlamak bu tabloyu sadeleştirir: kim nereden bağlanırsa bağlansın uygulamaya tek bir tanınan adresten ulaşır. Ancak çıkışın tek olması, erişim bilgisinin de tek olması anlamına gelmemeli. Grup bazında ayrı kimlik bilgileri tanımlamak, bir kişi ayrıldığında yalnızca ilgili kaydı yenilemenizi sağlar.

Yaşam döngüsünü üç adımda düşünün: tanımlama sırasında kapsam ve yetkiler belirlenir, kullanım sırasında git, arayüz ve koşucu trafiği aynı düzenden geçer, yenileme sırasında hem erişim bilgisi hem de jetonlar tazelenir. Bu döngüyü takvime bağlamak, unutulmuş erişimlerin birikmesini engeller.

Erişimi bölüştürürken yetki derinliğini de gözden geçirin. Bir çıkışa bağlı kimlik bilgisinin hangi projeleri kapsadığı çoğu zaman kurulum sırasında verilip bir daha açılmaz; gerektiğinden geniş tutulan bir kapsam, küçük bir sızıntıyı geniş bir yüzeye dönüştürür.

Dış ekiplerle çalışırken ayrı bir çıkış ayırmak ek bir avantaj sağlar: sözleşme bittiğinde yalnızca o çıkışı kapatırsınız, iç ekip etkilenmez. Kimlik doğrulamanın hangi yöntemle yapılacağını ekip yapısına göre seçin; sabit adresli ofisler için adres yetkilendirmesi pratiktir.

Git istemcisi, koşucu ve ortam değişkeni kapsamı

Komut satırındaki git istemcisi kendi yapılandırmasını okur; tarayıcıya yazdığınız bir ayar onu etkilemez. Sürekli tümleştirme koşucusu ise başka bir makinede çalışır ve çoğu kurulumda ortam değişkenlerine bakar. Aynı depoda çalışan üç farklı bileşen, üç ayrı kapsam demektir.

Koşucu tarafında kritik nokta, kapsam dışı bırakılacak adreslerin listesidir. Bu liste eksikse iç ağdaki bir hizmete giden istek dış çıkışa yönlenir ve hiçbir zaman ulaşmaz; fazla genişse dış trafiğin bir kısmı proxy’yi atlar ve denetim boşluğu doğar. Liste yazarken ana bilgisayar adlarını ve varsa iç ağ bloklarını birlikte düşünün.

İkinci nokta, iş içinde başlatılan alt süreçlerdir. Bir betik konteyner imajı çekiyorsa, paket yöneticisi bağımlılık indiriyorsa veya bir test aracı dışarıya istek atıyorsa bunların her biri ayrı bir istemcidir. Değişkenleri iş düzeyinde tanımlamak çoğu durumda yeterlidir, ancak bazı araçlar kendi yapılandırmasını bekler.

Yapılandırmayı depoya işlerken de dikkatli olun. Kapsam listeleri çoğu zaman zararsızdır, ancak kimlik bilgisi içeren bir adres satırı bir kez işlendiğinde geçmişte kalır ve deponun kopyasını alan herkese gider. Bu değerleri korumalı değişkenlerde tutmak ve iş günlüklerinde maskelemek standart bir alışkanlık olmalıdır.

Yapılandırmayı bitirdikten sonra işin ilk adımında çıkış adresini yazdıran küçük bir kontrol ekleyin. Böyle bir adım, aylar sonra sessizce bozulan bir kapsamı erkenden yakalar. Protokol seçimini gözden geçirmek isterseniz protokol seçim rehberi iki taşıyıcıyı karşılaştırıyor.

Artefakt ve büyük dosya indirmeleri başka bir ana bilgisayara düşer

Bir işin ürettiği artefaktı ya da büyük bir dosya nesnesini indirmek istediğinizde istek önce uygulamaya gider, ancak yanıt çoğu zaman dosyanın kendisi değildir. Uygulama, içeriğin durduğu nesne deposu için geçici ve imzalı bir adres üretip istemciyi oraya yönlendirir. İstemci de bu yeni ana bilgisayara ikinci bir bağlantı açar.

Proxy açısından bunun iki sonucu vardır. Birincisi, kuralınız yalnızca uygulama alan adını kapsıyorsa asıl indirme trafiği kapsam dışında kalır ve doğrudan gider. İkincisi, erişimin belirli adreslerle sınırlandırıldığı bir ağda ikinci bağlantının hedefi izin listesinde yoksa indirme başarısız olur.

Aynı davranış konteyner kayıt defterinde de görülür: manifest isteği bir adrese, katman indirmeleri başka bir adrese gidebilir. Kural yazarken “uygulamaya erişebiliyorum, demek ki her şey çalışır” varsayımından kaçının; indirmeyi gerçekten deneyin.

Yönlendirmelerin kaydını tutmak teşhisi kolaylaştırır. İstemcinizin ayrıntılı çıktısını açıp yanıt kodlarını izleyin; ikinci bağlantının hangi ana bilgisayara açıldığını görmek çoğu sorunu tek başına çözer. Çıkışın gerçekten kullanıldığını sınamak için proxy kontrol aracını kullanabilirsiniz.