Vercel News
·
Vercel Sandbox 的高级出站防火墙过滤
内容提要
Vercel Sandbox 通过 SNI 过滤和 CIDR 块实施出站网络策略，控制沙箱的主机访问。默认情况下，沙箱可无限制访问互联网，但在运行不可信或 AI 生成的代码时，可以限制网络访问，仅允许必要的服务。政策可动态更新，无需重启进程。
关键要点
-
Vercel Sandbox 通过 SNI 过滤和 CIDR 块实施出站网络策略，控制沙箱的主机访问。
-
默认情况下，沙箱可无限制访问互联网，但在运行不可信或 AI 生成的代码时，可以限制网络访问。
-
政策可动态更新，无需重启进程。
-
现代互联网依赖主机名而非 IP 地址，传统的基于 IP 的防火墙规则无法精确区分。
-
Vercel Sandbox 使用 SNI 监视防火墙，通过 TLS 握手的初始未加密字节提取目标主机名。
-
可以在创建沙箱时定义可访问的域名，其他所有访问默认被拒绝。
-
支持通配符，方便允许 CDN 后面的服务。
-
可以在初始设置后动态调整政策，无需重启进程，支持在一个会话中多次更新网络策略。
延伸解读
动态更新网络策略的优势
Vercel Sandbox 允许在运行时动态更新网络策略，这一特性极大地提高了灵活性。开发者可以在同一会话中根据需要调整访问权限，避免了重启进程带来的时间损失。这对于需要频繁变更网络访问的应用场景尤为重要，能够有效提升开发效率和安全性。
基于主机名的防火墙优势
现代互联网依赖主机名而非 IP 地址，Vercel Sandbox 的 SNI 过滤技术能够更精确地控制出站流量。传统的基于 IP 的防火墙规则难以应对多个域名共享同一 IP 的情况，而 SNI 过滤则能在 TLS 握手阶段识别目标主机名，从而有效防止未授权访问。
安全性与风险管理
在运行不可信或 AI 生成的代码时，限制网络访问是保护数据安全的重要措施。通过设置允许的域名，Vercel Sandbox 能够有效防止潜在的安全漏洞，如数据外泄或未授权的 API 调用。开发者应重视这一功能，确保在执行敏感操作时采取必要的安全防护措施。
延伸问答
Vercel Sandbox 的出站防火墙是如何工作的？
Vercel Sandbox 通过 SNI 过滤和 CIDR 块实施出站网络策略，控制沙箱的主机访问，未授权的目标在握手时被拒绝。
在 Vercel Sandbox 中如何限制网络访问？
可以在运行不可信或 AI 生成的代码时，限制网络访问，仅允许必要的服务，其他访问默认被拒绝。
Vercel Sandbox 支持哪些类型的网络策略？
Vercel Sandbox 支持基于 SNI 的策略和 IP/CIDR 基于规则，能够动态更新网络策略。
如何在创建沙箱时定义可访问的域名？
在创建沙箱时，可以通过设置网络策略中的 allow 列表来定义可访问的域名，其他所有访问将被拒绝。
Vercel Sandbox 的网络策略可以在运行时更新吗？
是的，网络策略可以在运行中的沙箱上动态更新，无需重启进程。
Vercel Sandbox 如何处理非 HTTP 协议的流量？
Vercel Sandbox 使用 SNI 监视防火墙来处理非 HTTP 协议的流量，确保可以支持 Redis 和 Postgres 等协议。
