Cassandra dros VPN: rhoi mynediad ar wahân i gleientiaid a nodau

Nid oes gan osodiad Cassandra un rhwydwaith cronfa ddata cyffredinol. Mae cymwysiadau'n siarad â'r gwasanaeth cleient, mae aelodau'r clwstwr yn siarad â'i gilydd, ac mae gweithredwyr yn defnyddio rhyngwynebau gweinyddol, ac ni ddylai'r tair cynulleidfa hyn etifeddu cyrhaeddiad ei gilydd. Mae llwybr preifat fel VPN yn fan cychwyn da, ond nid yw'n hunaniaeth defnyddiwr y gronfa ddata ac nid yw'n bolisi amgryptio'r gronfa ddata. Triniwch y penderfyniad cysylltedd a'r penderfyniad awdurdodi fel dau adolygiad ar wahân.

Mae pob un o'r tair cynulleidfa yn cael ei hateb ei hun, ac mae'r adrannau isod yn eu trin yn nhrefn eu hamlygiad.

Tair cynulleidfa, tri phenderfyniad

Nodwch beth sydd ei angen ar bob grŵp mewn gwirionedd cyn i chi gyffwrdd â rheol. Mae cleientiaid angen y gwrandäwr cleient a digon o wybodaeth i gyrraedd pob nod y gellid ei rhoi iddynt, mae nodau cymar angen ei gilydd ar y porth rhyng-nod, ac mae gweithredwyr angen y rhyngwyneb rheoli ar gyfer yr hyn y mae'r runbook yn ei ofyn mewn gwirionedd. Tair rhestr, tair cynulleidfa, tri lefel o ymddiriedaeth.

Y camgymeriad cyffredin yw adeiladu un segment preifat gwastad a chymryd yn ganiataol mai ffin y VPN sy'n gwneud y gweddill. Y tu mewn iddo, mae cymhwysiad sy'n cyrraedd y porth cleient fel arfer yn cyrraedd y porth rhyng-nod hefyd, ac mae offer gweinyddol gweithredwr yn aml yn eistedd ar yr un lluosogydd naid â'r cymhwysiad. Mae gwastatáu'r rhain gyda'i gilydd yn golygu bod gan hunaniaeth gymhwysiad sydd wedi'i chyfaddawdu fwy o gyrhaeddiad yn barod na'i ymholiadau ei hun. Tynnwch y tair cynulleidfa fel tair rhes yn y ddogfen ddylunio, pob un gyda'r rheol sy'n ei chaniatáu, a bydd y bylchau'n weladwy cyn i unrhyw un eu hadeiladu.

Beth sydd ei angen ar gleientiaid, a dim mwy

Caniatwch i ffynonellau cymhwysiad arfaethedig gyrraedd pwyntiau terfyn cleient ar gyfer y fersiwn a osodwyd, a chadwch wasanaethau clwstwr a rheoli di-gysylltiad allan o'r cyrhaeddiad hwnnw. Yna gwiriwch sut mae'r gyrrwr yn darganfod nodau. Nid yw pwynt cyswllt cychwynnol cyrhaeddadwy yn profi bod pob cyfeiriad nod y mae'r gyrrwr yn ei ddewis wedyn yn gyrhaeddadwy o'r cyd-destun cleient hwnnw, oherwydd mae'r gyrrwr yn gofyn i'r clwstwr am gymariaid ac yna'n cysylltu â pha bynnag gyfeiriadau y mae'r clwstwr yn eu hysbysebu.

Dyna pam mae un anghysondeb cyfeiriad preifat yn cynhyrchu'r patrwm cyfarwydd: cysylltiad cyntaf llwyddiannus wedi'i ddilyn gan amserau allan. Ffurfweddwch gyfeiriadau a hysbysebir a llwybryddiaeth cleient yn fwriadol; mae cyhoeddi'r clwstwr cyfan i'r rhyngrwyd i drwsio un anghysondeb yn cyfnewid nam llwybryddiaeth am amlygiad na allwch ei gymryd yn ôl.

Cadwch uwthentiad cronfa ddata'r cymhwysiad a chaniatadau rôl yn eu lle hefyd. Gall cyfeiriad VPN cyfieithiedig a rennir gynrychioli llawer o ddefnyddwyr neu wasanaethau, felly nid yw byth yn cymryd lle hunaniaethau cronfa ddata gwahanol.

Amgryptiwch cleient-i-nod a rhyng-nod ar wahân

Mae dogfennaeth diogelwch Apache yn trin amgryptio cleient-i-nod a rhyng-nod fel dau ffurfweddiad ar wahân, ac nid yw galluogi un yn galluogi'r llall. Mae'r gwahaniaeth hwnnw'n dal i fod yn berthnasol y tu mewn i VPN, oherwydd mae'r twnnel yn amddiffyn ei segment ei hun ac nid yw'n ymestyn yn awtomatig o broses y cymhwysiad i broses y gronfa ddata nac rhwng pob pâr o aelodau'r clwstwr.

Mae ffurfweddiad sy'n troi'r ddau ymlaen yn benodol, yn hytrach nag etifeddu rhagosodiad templed, yn edrych yn rhywbeth fel hyn:

client_encryption_options:
  enabled: true
  optional: false
server_encryption_options:
  internode_encryption: all

Ar ffurfweddiadau gweinydd sy'n caniatáu amgryptio cleient dewisol, gall derbyn TLS gydfodoli â derbyn cysylltiadau heb eu hamgryptio, felly darllenwch y polisi effeithiol yn hytrach na'r bwriad. Cynlluniwch enwau tystysgrifau, dosbarthiad ymddiriedaeth ac adnewyddu ar gyfer y pwyntiau terfyn y mae pob cleient yn cysylltu â nhw mewn gwirionedd; mae disodli enw gwesteiwr ag IP yn newid gwiriad hunaniaeth y cleient, nid ei lwybr yn unig.

Cadwch weinyddiaeth ar ei llwybr ei hun

Mae angen y set gymar a ganiateir a'i bolisi amddiffyn ei hun ar draffig rhyng-nod. Mae angen cynulleidfa ar wahân a'i uwthentiad ei hun ar fynediad gweinyddol, gan gynnwys JMX lle caiff ei ddefnyddio. Nid yw cymhwysiad a ganiateir i gyhoeddi ymholiadau cyffredin felly angen pob gallu rheoli, ac mae'r gwrthwyneb yn waeth: llwybr gweinyddol a amlygir i segment y cymhwysiad yw'r ffordd fyrraf o nam i ailadeiladu. Ysgrifennwch y ddwy gynulleidfa hynny ar wahân, ac enwch eu perchnogion, oherwydd fel arfer maent yn dimau gwahanol y cafodd eu rheolau eu cyfuno ar ddamwain.

Cadwch reolau cwmwl effeithiol, rheolau gwesteiwr a ffurfweddiad y gwrandäwr yn unol. Gall gwrandäwr preifat fod yn agored trwy gyfieithiad neu ddirprwy anfwriadol o hyd, a gall rheol gyhoeddus eang eistedd yn dawel wrth ymyl rheol VPN gul nes bod rhywun yn archwilio'r ddwy ar unwaith.

Lle mae gweithredwyr wirioneddol angen llwybr rheoli, rhowch berchynnog enw iddo a bywyd cyfnewidyn byrrach na bywyd y cymhwysiad. Mae hynny'n cadw'r dirprwyad yn weladwy pan fydd y person nesaf yn etifeddu'r clwstwr.

Beth mae'r dyluniad yn ei addo

Dilyswch y tri addewid gyda rolau go iawn yn hytrach nag â phrofion cysylltedd yn unig. Dylai cymhwysiad a gymeradwywyd gwblhau ei waith a ganiateir a dim mwy, dylai ffynhonnell a eithriwyd fethu yn erbyn mynedfa'r cleient, a dylai hunaniaeth cymhwysiad gael ei gwrthod ar y llwybrau gweinyddu a gadwyd. Ychwanegwch ailgysylltu cleient a dewis nod at yr un prawf cyflwyno, oherwydd dyna lle mae camgymeriadau darganfod yn dod i'r amlwg.

Gorffennwch â thair brawddeg yn y ddogfen ddylunio: pa gleientiaid all holi, pa nodau all gyfathrebu, a pha weithredwyr all weinyddu. Mae bod y tu ôl i VPN yn wybodaeth topoleg ddefnyddiol, ond nid yw'n ateb i unrhyw un o'r tair cwestiwn hynny.