Ұйымдар мен желілер

Ұйым мен желі - Qarvix-тағы иелену мен топтастырудың бүкіл құрылымы. Ұйым ішінде "жоба" немесе "жұмыс аймағы" сияқты аралық деңгей жүйеде жоқ: ұйым бірден желілерді, ал желілер - құрылғыларды, статикалық клиенттер мен қолжетімділік ережелерін қамтиды.

Бір ұйым ішінде нысандарды топтастыру қажет болса - бұған желі (жеке VPN-контуры) мен құрылғылар тобы (бір желіге байланбаған, қолжетімділік ережелеріне арналған аталған құрылғылар жиынтығы) бар. Төменде осы құралдардың қайсысын қандай тапсырма үшін алу керегі және интерфейстен жоқ "жобаны" неге іздемеу керегі көрсетілген.

Қысқаша

• Ұйым - иеленудің, қолжетімділіктің және есептіліктің жоғарғы әрі жалғыз шекарасы.
• Желі - ұйым ішіндегі оқшауланған WireGuard-контуры: өз CIDR-і, өз қатысушылары, өз ережелері.
• Құрылғылар тобы бір желіге емес, ұйымның өзіне тиесілі және қолжетімділік ережелері (ACL) үшін пайдаланылады - оған әртүрлі желілердегі құрылғыларды қосуға болады.
• Адамдардың кім нені көретінін жеке топтастыру мәні емес, рөл және оның қай желілерге байланғаны анықтайды.
• Бірнеше клиент үшін жеке ұйымдарды пайдаланыңыз.
• Бір клиенттің филиалдары үшін бір желі ішінде бірнеше желі немесе құрылғылар топтарын пайдаланыңыз - оларға VPN-мекенжайлар оқшаулануы қажет пе, соған байланысты.

Ұйым

Ұйым мына сұраққа жауап береді: контур кімге тиесілі және оған кім жауап береді. Ұйымдар арасында ортақ үстеме деңгей жоқ - әрбір ұйым автономды, оның өз пайдаланушылары, рөлдері, желілері, лицензиясы мен журналдары бар.

Мыналар қажет болса, ұйымды бөлек бөлген жөн:

• жеке әкімшілер;
• жеке пайдаланушылар мен шақырулар;
• тәуелсіз журналдар мен есептер;
• әртүрлі шарттық немесе лицензиялық талаптар;
• әртүрлі қауіпсіздік саясаттары;
• сервистік компания клиенттерін бөлу.

Ұйым мысалдары:

Ортақ журналдарды, пайдаланушыларды, құрылғыларды немесе есептерді көруге болмайтын бірнеше тәуелсіз клиент үшін бір ұйымды пайдаланбаңыз. Бір оператордың бірнеше ұйымын біріктіретін ортақ үстеме деңгей де жүйеде жоқ: әрбір ұйым өз биллингін, лицензиясы мен қолжетімділігін тәуелсіз жүргізеді.

Желі

Желі - ұйым ішіндегі топтастырудың негізгі құралы әрі бір мезгілде техникалық WireGuard-контуры: өз CIDR-і, өз hub-интерфейсі, өз қатысушылары мен өз маршруттау ережелері. Басқа жүйелерде "жоба" немесе "жұмыс аймағы" пайдаланылатын жерде, Qarvix-та нысандарды топтастыру үшін желі пайдаланылады.

Мыналар қажет болса, жеке желі ашыңыз:

• VPN-мекенжай кеңістігін бөлу: бір желінің құрылғылары басқа желінің ауқымынан мекенжай алмауы тиіс;
• қатысушыларды тек ACL ережелерімен ғана емес, әдепкі бойынша бір-бірінен оқшаулау;
• әртүрлі нысан топтары үшін exit node, peer mesh пен ішкі желілерді әртүрлі баптау;
• ұйымның басқа нысандарын тимей, бүкіл контурды бір әрекетпен өшіру мүмкіндігі.

Желінің жақсы атаулары:

• office-demo;
• warehouse-cameras;
• retail-east;
• meters-prod;
• service-team-vpn.

Нашар атаулар:

• test;
• wg1;
• new-net;
• router;
• anton.

Атауда мақсатты, нысанды немесе нысандар тобын көрсеткен дұрыс. Бұл журналдарды жылдам оқуға, қолжетімділік беруге және маршруттарды шатастырмауға көмектеседі.

Құрылғылар топтары

Қатысушыларды VPN-мекенжайларды оқшаулау үшін емес, қолжетімділік ережелері үшін топтастыру керек болса - құрылғылар тобын пайдаланыңыз. Топ бір желіге емес, ұйымның өзіне тұтастай тиесілі, сондықтан оған әртүрлі желілердегі құрылғыларды қосып, әртүрлі ACL ережелерінде қайта пайдалануға болады.

Құрылғылар тобы мына жағдайларда пайдалы:

• бір ережемен бірнеше біртекті құрылғыға бірден қолжетімділік ашу керек, мысалы қойманың барлық камераларына;
• құрылғылар логикалық тұрғыдан бір бағытқа жатады, бірақ физикалық түрде әртүрлі желілерге қосылған;
• құрылғылар тізімі қолжетімділік ережелеріне қарағанда жиірек өзгереді - ереже нақты VPN IP-ге емес, топқа сілтеме жасайды.

Құрылғылар тобы желіні алмастырмайды: ол VPN-мекенжай бермейді және әдепкі бойынша оқшаулау жасамайды, тек ACL ережелері үшін құрылғыларды топтастырады.

Рөлдер және желілерге байланыс

Адамдар - филиалдар, командалар, мердігерлер - арасындағы қолжетімділік бөлінісі Qarvix-та жеке топтастыру мәні арқылы емес, рөл және оның нақты желілерге байланысы арқылы беріледі.

Іс жүзінде бұл мынаны білдіреді: инженер ұйымның барлық желісін емес, тек бір ғана нысанды көруі үшін, ол шақырылған рөл тек қажетті желіге ғана байланады. Толығырақ - Пайдаланушылар, рөлдер және SSO бөлімінде.

Құрылымның типтік модельдері

Бір нысан

Пилот немесе шағын алаң үшін қолайлы.

• Ұйым: Компания;
• Желі: office-net;
• Құрылғылар: нысанның роутері, әкімшінің статикалық клиенті.

Артықшылығы: жылдам бастау, аз мән.

Тәуекел: нысандар көбейсе, оларды желілерге немесе құрылғылар топтарына бөлуді алдын ала ойластыру керек болады.

Бір клиенттің бірнеше филиалы

Бөлшек сауда, кеңселер, қоймалар, камералар мен жергілікті сервистер үшін қолайлы. Филиалдарға бір-бірінен VPN-мекенжай оқшаулауы қажет пе, соған байланысты екі нұсқа бар.

Филиалдар желі бойынша толық оқшаулануы тиіс болса:

• Ұйым: Клиент;
• Желілер: branch-almaty, branch-astana, branch-shymkent;
• Құрылғылар: филиалдардың роутерлері, LAN-маршруттар, инженерлердің статикалық клиенттері.

Филиалдарға ортақ VPN-кеңістігі жеткілікті болса, ал бөлу тек қолжетімділік ережелері үшін ғана қажет болса:

• Ұйым: Клиент;
• Желі: retail-all;
• Құрылғылар топтары: branch-almaty, branch-astana, branch-shymkent.

Екі нұсқаның да артықшылығы: бірыңғай клиент, орталықтандырылған пайдаланушылар мен есептер.

Бірінші нұсқаның тәуекелі: VPN-ауқымдарын қиылыспайтындай етіп алдын ала ойластыру керек. Екіншісінің тәуекелі: топтар арасында ACL ережелерісіз әртүрлі филиалдардың құрылғылары бір желіде бір-бірін көруі мүмкін.

Бірнеше клиенті бар сервистік компания

Әртүрлі тапсырыс берушілердің нысандарына қызмет көрсететін мердігер үшін қолайлы. Бұл сценарий үшін ұйымдар үстінен ортақ деңгей жоқ - әрбір клиент қалғандарынан толық тәуелсіз өз ұйымын алады.

• Клиент А ұйымы - клиент А нысандары бар желі;
• Клиент Б ұйымы - клиент Б нысандары бар желі;
• Внутренний контур сервиса ұйымы - Мониторинг, Тесты желілері.

Артықшылығы: клиенттер оқшауланған, есептер мен журналдар араласпайды.

Тәуекел: сервистік команда рөлдерді қажетті желілерге мұқият байлауы керек, сонда инженер тек қажетті клиенттерді ғана көреді - ұйымдар арасында ортақ кіру жоқ, әрқайсысы жеке мүшелікті талап етеді.

Камералар, датчиктер және құрылғылар API-і үшін бір контур

Роутер артында жұмыс орындары емес, жергілікті құрылғылар болатын жағдайда қолайлы.

• Ұйым: Клиент;
• Желі: cameras-and-sensors;
• Маршруттар: нысанның LAN-ішкі желісі;
• Қолжетімділік: сервистік команда, мониторинг, API-интеграциялар.

Артықшылығы: ақ IP мен порт бағыттаусыз туннель арқылы қажетті құрылғыларға қолжетімділік беруге болады.

Тәуекел: LAN-ға қолжетімділікті бүкіл пайдаланушыға ашпай, ережелермен шектеу керек.

Құрылымды қалай таңдау керек

Мына сұрақтардың кемінде біреуіне жауап "иә" болса, жеке ұйымды пайдаланыңыз:

• бұл клиенттің жеке пайдаланушылары бар ма;
• жеке есептер қажет пе;
• журналдарды араластыруға болмай ма;
• шарттар немесе лицензиялар әртүрлі ме;
• әкімшілер әртүрлі ме;
• қатаң оқшаулау қажет пе.

Мыналар болса, жеке желіні пайдаланыңыз:

• жеке VPN-ауқымы қажет;
• құрылғылар әдепкі бойынша бір-бірін еркін көрмеуі тиіс;
• әртүрлі нысан топтары үшін ACL, peer mesh немесе exit node әртүрлі;
• LAN-ішкі желілерге дейінгі маршруттар әртүрлі;
• нысан біртұтас контур ретінде өшірілетін болуы тиіс.

Мыналар болса, (бір желі шеңберінде) құрылғылар тобын пайдаланыңыз:

• нысандарды тек ACL ережелері үшін топтастыру керек;
• VPN-мекенжайларды оқшаулау қажет емес;
• топтағы құрылғылар тізімі жиі өзгеретін болады.

Мыналар болса, рөлді нақты желіге байлаңыз:

• белгілі бір адам қандай желілерді көретінін шектеу керек;
• әртүрлі командалар әртүрлі нысандармен жұмыс істейді;
• мердігерге тек бір ғана желіге қолжетімділік қажет.

Атау бойынша ұсыныстар

Жүйеде аралық топтастыру деңгейі болмағандықтан, тізімдерде, журналдар мен есептерде құрылымды оқылымды етіп ұстайтын нәрсе - бірыңғай ат форматы.

Бірыңғай форматты пайдаланыңыз: нысан-түрі-локация.

Мысалдар:

• retail-almaty-01;
• warehouse-astana-cameras;
• meters-kokshetau-prod;
• office-demo;
• service-laptops.

Құрылғылар үшін рөлді қосу пайдалы:

• router-almaty-01;
• hub-prod;
• client-engineer-ivanov;
• camera-gateway-warehouse;
• plc-router-line-2.

Атауларда new, old, test2 сияқты уақытша белгілерді пайдаланбаңыз. Мұндай атаулар тез түсініксіз болып қалады, ал желіні немесе топты кейін қайта атау бірден дұрыс атаудан әлдеқайда қиын.

Қолжетімділік және жауапкершілік

Ұйымдар мен желілер құрылымы құқықтарға тікелей әсер етеді.

Негізгі тәсіл:

• ұйым әкімшілері пайдаланушыларды, желілерді және құрылғыларды басқарады;
• инженерлер рөлдің осы желілерге байлануы арқылы тек қажетті желілерге ғана қолжетімділік алады;
• мердігерлер жұмыс уақытына шектеулі қолжетімділік алады;
• API-токендер интеграциялар мен автоматтандыру үшін пайдаланылады;
• қызметкерлердің есептік жазбалары сервистік ретінде пайдаланылмайды.

Қызметкерді немесе мердігерді ажырату керек болса, оның қайда қолжетімділігі бар екенін түсіну маңызды: ұйым деңгейінде тұтастай ма, әлде рөл арқылы жеке желілер деңгейінде ме.

Ұйым деңгейінде нені сақтау керек

Ұйым деңгейінде әдетте мыналар бекітіледі:

• пайдаланушылар мен шақырулар;
• рөлдер мен қолжетімділік саясаттары;
• бірыңғай кіру пайдаланылса, SSO баптаулары;
• интеграцияларға арналған API-токендер;
• лицензиялық параметрлер;
• ортақ журналдар мен есептер;
• атау ережелері мен пайдалану келісімдері.

Желі деңгейінде нақты нысандар тобына қатысты нәрсені ұстаған дұрыс: құрылғылар, маршруттар, құрылғылар топтары мен ACL, peer mesh, exit node және LAN/API-ге қолжетімділік.

Пайдалануға берер алдындағы тексеріс

Контурды жұмысқа бермес бұрын тексеріңіз:

• ұйым түсінікті аталған;
• желілер қиылысатын VPN-ауқымдарын пайдаланбайды;
• нысандардың жергілікті LAN-ішкі желілері бір-бірімен қайшы келмейді;
• пайдаланушылар өздеріне қажетті желілерден тыс артық қолжетімділік алмайды;
• мердігерлер үшін түсінікті мерзім мен қолжетімділік шекарасы бар;
• оқиғалар журналдарда көрінеді;
• есептерді қажетті ұйым немесе желі бойынша қалыптастыруға болады;
• әрбір желі мен әрбір құрылғының иесі кім екені түсінікті.

Жиі кездесетін қателер

Интерфейстен ұйымнан жоғары топтастыру деңгейін іздейді

Qarvix-та ол жоқ: ұйым бірден желілерді қамтиды. Қосымша құрылым қажет болса, бірнеше желіні немесе желі ішіндегі құрылғылар топтарын пайдаланыңыз - VPN-мекенжайларды оқшаулау қажет пе, соған байланысты.

Барлық клиенттер бір ұйымда

Бастапқыда бұл жылдамырақ, бірақ кейінірек құқықтармен, журналдармен және есептермен мәселелер туындайды. Тәуелсіз клиенттер үшін әртүрлі ұйымдарды пайдаланыңыз.

Топтастырусыз барлық нысанға бір желі

Кейде бұл ыңғайлы, бірақ жиірек алаңдар арасында артық байланыс тудырады. Нысандар оқшаулануы тиіс болса, жеке желілер жасаңыз немесе кемінде құрылғыларды топтарға бөліп, байланысты ACL ережелерімен шектеңіз.

Бірыңғай ат форматы жоқ

Бірнеше айдан кейін test, router2, new branch сияқты атаулар ештеңені түсіндірмей қалады. Ат форматы туралы бірден келісіп алған дұрыс.

Мердігерге әкімшілік қолжетімділік беріледі

Бір реттік жұмыстар үшін рөлді нақты желіге байлап, қолжетімділікті шектеп, қолданылу мерзімін белгілеген дұрыс. Әкімшілік рөлдерді нақты контурды басқаратындарға ғана қалдырған жөн.

Ішкі желілердің қиылысуы тексерілмеген

VPN-ауқымы немесе LAN-ішкі желісі басқа желімен сәйкес келсе, маршруттау болжанбаған түрде жұмыс істеуі мүмкін. Production-нысандарды қосар алдында мекенжай жоспарын тексеріңіз.

Байланысты бөлімдер

• Qarvix-тағы алғашқы қадамдар - алғашқы іске қосудың жалпы маршруты.
• Пайдаланушылар, рөлдер және SSO - қолжетімділікті қалай беру және қайтарып алу керек, рөлдерді желілерге байлау.
• Желілер, маршруттар және ACL - желілер, құрылғылар топтары, маршруттар мен қолжетімділік ережелері қалай құрылған.
• Журналдар мен есептер - әрекеттерді қалай тексеру және пайдалану материалдарын қалай дайындау керек.