Acesso à internet

A conectividade com a internet está disponível em todos os sandboxes, e o acesso externo é fornecido por meio de uma URL pública.

Alternando o acesso à internet

Ao criar um sandbox, você pode usar o parâmetro allowInternetAccess / allow_internet_access para configurar a conectividade com a internet. O acesso à internet é ativado por padrão, mas pode ser desativado para cargas de trabalho com requisitos de segurança mais rigorosos.

import { Sandbox } from 'novita-sandbox/code-interpreter'

// Create sandbox with internet access enabled (default)
const sandbox = await Sandbox.create({ allowInternetAccess: true })

// Create sandbox without internet access
const isolatedSandbox = await Sandbox.create({ allowInternetAccess: false })

from novita_sandbox.code_interpreter import Sandbox

# Create sandbox with internet access enabled (default)
sandbox = Sandbox.create(allow_internet_access=True)

# Create sandbox without internet access
isolated_sandbox = Sandbox.create(allow_internet_access=False)

Se o acesso à internet estiver desativado, o sandbox será impedido de iniciar solicitações de rede de saída. Isso ajuda a adicionar uma camada extra de proteção ao executar código sensível.

Passar um valor falsy para allowInternetAccess / allow_internet_access tem o mesmo efeito que adicionar ['0.0.0.0/0'] a network.denyOut / network.deny_out, o que bloqueia todos os destinos.

Controle de rede refinado

A configuração de rede fornece controle mais refinado sobre o tráfego de saída, permitindo que você defina listas de permissão e listas de bloqueio.

Listas de permissão e bloqueio

Endereços IP, blocos CIDR ou nomes de domínio que o sandbox tem permissão para acessar podem ser especificados.

import { Sandbox } from 'novita-sandbox/code-interpreter'

// Deny all traffic except specific IPs
const sandbox = await Sandbox.create({
  network: {
    denyOut: ['0.0.0.0/0'],
    allowOut: ['1.1.1.1', '8.8.8.0/24']
  }
})

// Deny specific IPs only
const restrictedSandbox = await Sandbox.create({
  network: {
    denyOut: ['8.8.8.8']
  }
})

from novita_sandbox.code_interpreter import Sandbox

# Deny all traffic except specific IPs
sandbox = Sandbox.create(
    network={
        "deny_out": ["0.0.0.0/0"],
        "allow_out": ["1.1.1.1", "8.8.8.0/24"]
    }
)

# Deny specific IPs only
restricted_sandbox = Sandbox.create(
    network={
        "deny_out": ["8.8.8.8"]
    }
)

O CIDR '0.0.0.0/0' / "0.0.0.0/0" é uma forma abreviada para “todos os destinos”. Uma constante ALL_TRAFFIC exportada resolve para o mesmo valor 0.0.0.0/0 se você preferir uma alternativa nomeada ao literal.

Filtragem baseada em domínio

Você pode especificar hostnames em allowOut / allow_out para permitir tráfego de saída para domínios selecionados. Quando a filtragem baseada em domínio está ativada, todo o tráfego restante deve ser bloqueado por meio de denyOut / deny_out. Entradas de domínio só são compatíveis com listas de permissão e não podem ser usadas em listas de bloqueio.

import { Sandbox } from 'novita-sandbox/code-interpreter'

// Allow only traffic to google.com
const sandbox = await Sandbox.create({
  network: {
    allowOut: ['google.com'],
    denyOut: ['0.0.0.0/0']
  }
})

from novita_sandbox.code_interpreter import Sandbox

# Allow only traffic to google.com
sandbox = Sandbox.create(
    network={
        "allow_out": ["google.com"],
        "deny_out": ["0.0.0.0/0"]
    }
)

Sempre que um domínio aparece na configuração, o servidor de nomes padrão 8.8.8.8 é permitido automaticamente para que a resolução DNS continue funcionando.

Você também pode corresponder a todos os subdomínios de um domínio com um curinga:

import { Sandbox } from 'novita-sandbox/code-interpreter'

// Allow traffic to any subdomain of mydomain.com
const sandbox = await Sandbox.create({
  network: {
    allowOut: ['*.mydomain.com'],
    denyOut: ['0.0.0.0/0']
  }
})

from novita_sandbox.code_interpreter import Sandbox

# Allow traffic to any subdomain of mydomain.com
sandbox = Sandbox.create(
    network={
        "allow_out": ["*.mydomain.com"],
        "deny_out": ["0.0.0.0/0"]
    }
)

Domínios, endereços IP e intervalos CIDR podem ser todos combinados na mesma lista:

import { Sandbox } from 'novita-sandbox/code-interpreter'

// Allow traffic to specific domains and IPs
const sandbox = await Sandbox.create({
  network: {
    allowOut: ['api.example.com', '*.github.com', '8.8.8.8'],
    denyOut: ['0.0.0.0/0']
  }
})

from novita_sandbox.code_interpreter import Sandbox

# Allow traffic to specific domains and IPs
sandbox = Sandbox.create(
    network={
        "allow_out": ["api.example.com", "*.github.com", "8.8.8.8"],
        "deny_out": ["0.0.0.0/0"]
    }
)

A filtragem por domínio se aplica apenas a HTTP pela porta 80 (inspecionado por meio do cabeçalho Host) e TLS pela porta 443 (inspecionado por meio de SNI). Qualquer outra porta volta para a correspondência baseada em CIDR, e protocolos UDP, como QUIC/HTTP3, não podem ser filtrados por domínio.

Como conexões TCP bloqueadas se comportam

Devido à arquitetura do firewall, uma conexão de saída bloqueada ainda pode parecer bem-sucedida a partir de dentro do sandbox. O firewall precisa primeiro aceitar a conexão TCP antes de poder avaliar se o destino de destino é permitido. Como resultado, o código em execução dentro do sandbox pode ver a conexão ser bem-sucedida e o socket abrir, mesmo que o destino esteja bloqueado. Nesse caso, nenhum tráfego é realmente entregue ao endpoint remoto. Para confirmar que o destino está acessível, valide uma resposta em nível de aplicação em vez de confiar apenas no sucesso da conexão TCP. Por exemplo, verifique um código de status HTTP, um handshake TLS concluído ou os bytes de resposta esperados do protocolo. Esse comportamento é uma limitação atual de como o tráfego de saída do sandbox é roteado pelo nosso firewall e pode ser atualizado no futuro.

Regras de prioridade

Se regras de permissão e bloqueio estiverem configuradas, as regras de permissão têm prioridade. Portanto, qualquer endereço IP que apareça em ambas as listas ainda será permitido.

import { Sandbox } from 'novita-sandbox/code-interpreter'

// Even though all traffic is denied, 1.1.1.1 and 8.8.8.8 are explicitly allowed
const sandbox = await Sandbox.create({
  network: {
    denyOut: ['0.0.0.0/0'],
    allowOut: ['1.1.1.1', '8.8.8.8']
  }
})

from novita_sandbox.code_interpreter import Sandbox

# Even though all traffic is denied, 1.1.1.1 and 8.8.8.8 are explicitly allowed
sandbox = Sandbox.create(
    network={
        "deny_out": ["0.0.0.0/0"],
        "allow_out": ["1.1.1.1", "8.8.8.8"]
    }
)

As configurações de network entram em vigor somente quando o sandbox é criado — forneça-as a Sandbox.create. Depois que o sandbox existe, elas ficam fixas e não podem ser modificadas.

URL pública do sandbox

Serviços em um sandbox podem ser acessados usando a URL pública do sandbox.

import { Sandbox } from 'novita-sandbox/code-interpreter'

const sandbox = await Sandbox.create()

// You need to always pass a port number to get the host
const host = sandbox.getHost(3000)
console.log(`https://${host}`)

from novita_sandbox.code_interpreter import Sandbox

sandbox = Sandbox.create()

# You need to always pass a port number to get the host
host = sandbox.get_host(3000)
print(f'https://{host}')

A saída será assim:

https://3000-i62mff4ahtrdfdkyn2esc.sandbox.novita.ai

https://3000-i62mff4ahtrdfdkyn2esc.sandbox.novita.ai

O segmento mais à esquerda do hostname é exatamente o número da porta que você passou para o método.

Conectando-se a um servidor em execução dentro do sandbox

Você pode se conectar a um servidor em execução dentro do sandbox usando o método descrito anteriormente; por exemplo, inicie um servidor HTTP leve na porta 3000 para servir arquivos a partir do diretório de inicialização dele.

import { Sandbox } from 'novita-sandbox/code-interpreter'

const sandbox = await Sandbox.create()

// Start a simple HTTP server inside the sandbox.
const process = await sandbox.commands.run('python -m http.server 3000', { background: true })
const host = sandbox.getHost(3000)
const url = `https://${host}`
console.log('Server started at:', url)

// Fetch data from the server inside the sandbox.
const response = await fetch(url);
const data = await response.text();
console.log('Response from server inside sandbox:', data);

// Kill the server process inside the sandbox.
await process.kill()

import requests
from novita_sandbox.code_interpreter import Sandbox

sandbox = Sandbox.create()

# Start a simple HTTP server inside the sandbox.
process = sandbox.commands.run("python -m http.server 3000", background=True)
host = sandbox.get_host(3000)
url = f"https://{host}"
print('Server started at:', url)

# Fetch data from the server inside the sandbox.
response = requests.get(url)
data = response.text
print('Response from server inside sandbox:', data)

# Kill the server process inside the sandbox.
process.kill()

Esta saída será a seguinte:

Server started at: https://3000-ip3nfrvajtqu5ktoxugc7.sandbox.novita.ai
Response from server inside sandbox: <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN" "http://www.w3.org/TR/html4/strict.dtd">
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<title>Directory listing for /</title>
</head>
<body>
<h1>Directory listing for /</h1>
<hr>
<ul>
<li><a href=".bash_logout">.bash_logout</a></li>
<li><a href=".bashrc">.bashrc</a></li>
<li><a href=".profile">.profile</a></li>
</ul>
<hr>
</body>
</html>

Server started at: https://3000-ip3nfrvajtqu5ktoxugc7.sandbox.novita.ai
Response from server inside sandbox: <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01//EN" "http://www.w3.org/TR/html4/strict.dtd">
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<title>Directory listing for /</title>
</head>
<body>
<h1>Directory listing for /</h1>
<hr>
<ul>
<li><a href=".bash_logout">.bash_logout</a></li>
<li><a href=".bashrc">.bashrc</a></li>
<li><a href=".profile">.profile</a></li>
</ul>
<hr>
</body>
</html>

Mascarando cabeçalhos Host de solicitações

Você pode usar a opção maskRequestHost / mask_request_host para personalizar o cabeçalho Host enviado aos serviços em execução dentro do sandbox. Isso é útil quando sua aplicação espera que as solicitações sigam um formato de host específico.

import { Sandbox } from 'novita-sandbox/code-interpreter'

// Create sandbox with custom host masking
const sandbox = await Sandbox.create({
  network: {
    maskRequestHost: 'localhost:${PORT}'
  }
})

// The ${PORT} variable will be replaced with the actual port number
// Requests to the sandbox will have Host header set to for example: localhost:8080

from novita_sandbox.code_interpreter import Sandbox

# Create sandbox with custom host masking
sandbox = Sandbox.create(
    network={
        "mask_request_host": "localhost:${PORT}"
    }
)

# The ${PORT} variable will be replaced with the actual port number
# Requests to the sandbox will have Host header set to for example: localhost:8080

No momento da solicitação, ${PORT} na máscara é substituído pelo número real da porta do serviço que está sendo endereçado.

Get started

Model APIs

Agent Sandbox

GPUs

Observability

Resources

Alternando o acesso à internet

Controle de rede refinado

Listas de permissão e bloqueio

Filtragem baseada em domínio

Como conexões TCP bloqueadas se comportam

Regras de prioridade

URL pública do sandbox

Conectando-se a um servidor em execução dentro do sandbox

Mascarando cabeçalhos Host de solicitações

​Alternando o acesso à internet

​Controle de rede refinado

​Listas de permissão e bloqueio

​Filtragem baseada em domínio

​Como conexões TCP bloqueadas se comportam

​Regras de prioridade

​URL pública do sandbox

​Conectando-se a um servidor em execução dentro do sandbox

​Mascarando cabeçalhos Host de solicitações

Alternando o acesso à internet

Controle de rede refinado

Listas de permissão e bloqueio

Filtragem baseada em domínio

Como conexões TCP bloqueadas se comportam

Regras de prioridade

URL pública do sandbox

Conectando-se a um servidor em execução dentro do sandbox

Mascarando cabeçalhos Host de solicitações