EgressPolicy

import type { EgressPolicy } from "@elie-laloum/outpost";
import type { EgressPolicy } from "@elie-laloum/outpost/providers/docker";
import type { EgressPolicy } from "@elie-laloum/outpost/providers/podman";
import type { EgressPolicy } from "@elie-laloum/outpost/providers/vercel";
import type { EgressPolicy } from "@elie-laloum/outpost/providers/daytona";

Paramètres et propriétés

Les champs ci-dessous couvrent toutes les variantes ; la signature précise leurs combinaisons autorisées.

modeRequis
"deny-all" | "allowlist"
deny-all bloque tout le trafic sortant et n’accepte aucun autre champ ; allowlist n’autorise que les domains et allowCidrs listés et exige au moins une entrée. Un provider qui ne peut pas imposer la politique la refuse avec le code configuration dès sa création.
domainsSelon la variante
readonly string[] | undefined
Noms DNS autorisés, exacts ou préfixés par *. pour les sous-domaines, sans protocole, chemin ni port ; les adresses IP et les noms à un seul label sont refusés. Outpost n’ajoute aucune destination, et Daytona exige la racine de chaque joker dans la liste.
allowCidrsSelon la variante
readonly string[] | undefined
Plages IP autorisées indépendamment des domaines : une plage large contourne donc la liste de domaines. Vercel accepte IPv4 et IPv6 ; Daytona accepte au plus 10 plages IPv4, sans domains à côté.
denyCidrsSelon la variante
readonly string[] | undefined
Plages IP bloquées même quand un domaine ou une entrée allowCidrs les autorise. Seul Vercel les applique ; Daytona refuse une liste non vide.

Signature

export type EgressPolicy =
  | {
      readonly mode: "deny-all";
    }
  | {
      readonly mode: "allowlist";
      readonly domains?: readonly string[];
      readonly allowCidrs?: readonly string[];
      readonly denyCidrs?: readonly string[];
    };