Сети, участники, exit node, ACL, peer mesh и subnet routes

Сеть в Qarvix описывает защищенный WireGuard-контур: какие участники подключены, какие VPN-адреса им выданы, какие LAN-подсети доступны через роутеры и какие направления трафика разрешены.

Хорошая сеть понятна без догадок: кто участник, где gateway, какие подсети объявлены, включен ли peer mesh, кто может ходить к объекту и есть ли выход через exit node.

Коротко

• Сеть объединяет hub, управляемые устройства и статические клиенты.
• VPN IP выдается из CIDR-диапазона сети.
• Subnet route открывает доступ к LAN-подсети за роутером.
• Exit node позволяет направлять трафик через выбранный узел.
• ACL ограничивает доступ между группами устройств, сетями, маршрутами и интернетом.
• Peer mesh разрешает прямую связь между управляемыми роутерами, когда это допустимо; статические клиенты в mesh не участвуют.
• Доступ по умолчанию лучше держать закрытым и открывать только нужные направления.

Участники сети

Участник сети - это peer WireGuard-контура Qarvix.

Типовые участники:

Один управляемый роутер может быть обычным peer-ом, gateway для LAN-подсети или exit node. Роль зависит от сценария и настроек сети.

Для ACL участников объединяют в группы устройств. Правило доступа задается не для конкретного роутера, а для группы: это позволяет добавлять и убирать устройства без пересборки правил.

CIDR сети

CIDR сети задает диапазон VPN-адресов для участников.

Пример:

Название: retail-east
CIDR: 10.110.0.0/24
Hub: 10.110.0.1
Роутер объекта: 10.110.0.4
Инженер: 10.110.0.8

Перед созданием production-сети проверьте:

• диапазон не пересекается с LAN объектов;
• диапазон не пересекается с корпоративным VPN;
• диапазон достаточно большой для будущих устройств;
• адреса можно объяснить в документации и поддержке.

Если несколько филиалов используют одинаковую локальную подсеть, это нужно учитывать при маршрутизации. Иногда лучше развести такие объекты по отдельным сетям или заранее согласовать NAT/адресный план.

Subnet routes

Subnet route - это маршрут до локальной подсети за роутером.

Пример:

Роутер объекта в Qarvix: 10.110.0.4
LAN объекта: 192.168.10.0/24
Камера: 192.168.10.20
PLC: 192.168.10.30

После включения маршрута пользователи и сервисы могут обращаться к устройствам в LAN через Qarvix, если это разрешено ACL.

Subnet route нужен, когда:

• нужно открыть камеры за роутером;
• нужно получать данные с PLC или датчиков;
• нужно зайти в web-интерфейс локального устройства;
• сервер мониторинга должен обращаться к API на объекте;
• не хочется настраивать VPN на каждом устройстве в LAN.

Не открывайте всю LAN-подсеть всем пользователям. Маршрут дает техническую достижимость, но правила доступа должны определять, кому это разрешено.

Exit node

Exit node - это участник сети, через который можно направить исходящий трафик.

Сценарии:

• сервисная команда должна выходить к внешнему ресурсу с адреса объекта;
• нужно диагностировать, как объект видит интернет;
• нужно временно направить трафик через удаленный роутер;
• нужно дать доступ к ресурсам, которые разрешают подключения только из сети объекта.

Exit node нужно включать осторожно. Он меняет маршрут трафика и может повлиять на безопасность, скорость и доступность.

Перед включением проверьте:

• кто имеет право использовать exit node;
• какие направления трафика разрешены;
• не нарушает ли это требования клиента;
• достаточно ли пропускной способности канала на объекте;
• видны ли события включения в журнале.

ACL

ACL - это правила доступа между группой устройств (или целой сетью) и назначением: другой группой, маршрутом до подсети, интернетом или сетью целиком.

ACL отвечает на вопросы:

• какая группа устройств может подключаться к роутеру;
• какая группа может обращаться к LAN-подсети;
• разрешен ли доступ к API устройств;
• можно ли участникам сети общаться напрямую;
• что запрещено по умолчанию.

ACL не решает, какие объекты видит конкретный пользователь в панели - это определяется организацией, ролью и тем, к каким сетям она привязана. Если нужно ограничить инженеру или подрядчику видимость сетей, это задача роли, а не ACL: подробнее в разделе Пользователи, роли и SSO.

Практический подход:

Хорошая политика доступа начинается с запрета по умолчанию. Затем открываются только нужные направления.

Доступ по умолчанию

Доступ по умолчанию определяет, что происходит, если явного правила нет.

Для production-сетей безопаснее использовать модель:

по умолчанию запрещено
разрешены только явно описанные направления

Такой подход требует чуть больше настройки, но снижает риск случайно открыть лишнюю подсеть или объект.

Для пилота иногда допускается более свободная модель, но перед вводом в эксплуатацию ее нужно пересмотреть.

Peer mesh

Peer mesh разрешает прямую связь между участниками сети, если это технически возможно и разрешено политикой.

Peer mesh работает только между управляемыми роутерами. Статический клиент никогда не участвует в mesh: у него нет канала управления, через который можно назначить, обновить или снять прямую WireGuard-связь после того, как его конфигурация уже выдана. Это ограничение на уровне реализации, а не настройка, которую можно включить в интерфейсе - пары для mesh всегда назначаются между двумя роутерами.

Без peer mesh трафик чаще идет через hub. С peer mesh пара роутеров может выйти на прямую WireGuard-связь друг с другом, что может снизить задержку и нагрузку на центральный узел.

Peer mesh полезен, когда:

• двум роутерам нужно часто обмениваться трафиком напрямую;
• есть несколько управляемых роутеров в одной сети;
• важна меньшая задержка между объектами;
• каналы позволяют прямую связь.

Peer mesh не стоит включать автоматически для всех пар роутеров. Сначала проверьте, не нарушит ли это границы доступа между объектами.

LAN-подсети одним кликом

Один из сильных сценариев Qarvix - включение маршрута до LAN-подсети без ручной настройки WireGuard на каждом рабочем месте.

Для руководителя это выглядит так:

Объект подключен через роутер
Администратор включает маршрут до LAN-подсети
Сервисная команда получает доступ к нужным устройствам
Порты наружу не открываются
Белый IP на объекте не нужен

Для инженера это означает меньше ручных конфигураций и меньше ошибок в AllowedIPs, маршрутах и ключах.

Типовые сценарии

Доступ только к роутеру

Используйте, если нужно администрировать сам роутер, но не открывать LAN.

Инженер -> VPN IP роутера
LAN объекта не объявляется

Доступ к камерам или PLC

Используйте subnet route.

Инженер -> Qarvix Hub -> роутер объекта -> 192.168.10.0/24
ACL разрешает только нужным пользователям

Несколько объектов в одном контуре

Используйте отдельные маршруты и ACL.

Сервисная команда -> объект A
Сервисная команда -> объект B
Подрядчик -> только объект C

API устройств для мониторинга

Откройте только нужный адрес и порт.

Мониторинг -> 192.168.10.50:8080
Остальная LAN закрыта

Проверка маршрутизации

Если связь не работает, проверяйте по слоям:

1. Участник online.
2. VPN IP выдан корректно.
3. WireGuard-handshake свежий.
4. Subnet route добавлен.
5. Роутер знает локальную LAN.
6. Firewall на объекте пропускает трафик.
7. ACL разрешает направление.
8. Локальное устройство отвечает.
9. Нет пересечения подсетей.

Не начинайте диагностику с переустановки агента, если устройство online. Чаще проблема находится в маршруте, ACL, firewall или адресном плане.

Контрольный список

• У сети понятное имя.
• CIDR не конфликтует с LAN и корпоративными VPN.
• Участники находятся в правильной сети.
• Gateway-устройства явно отмечены.
• Subnet routes добавлены только для нужных подсетей.
• Exit node включен только там, где он нужен.
• ACL запрещает лишние направления.
• Peer mesh включен осознанно.
• Доступ к LAN/API ограничен по пользователям или ролям.
• Журналы показывают изменения маршрутов и правил доступа.

Связанные разделы

• Устройства и VPN-адреса - какие участники входят в сеть.
• API устройств через туннель - как открыть локальный API через маршрут.
• Пользователи, роли и SSO - кто получает доступ к сети и подсетям.
• Диагностика и типовые проблемы - как разбирать проблемы маршрутизации.