Aon fhreastalaí saotharlainne, trí ról muiníne, aon fhearann teipe

Oibríonn gach rud go dtí go mbíonn an rithire tógála ag teastáil ón socóg ósta céanna a úsáideann an t-aíonna VPN, agus ansin ní féidir le haon duine a mhíniú cén fáth ar féidir le tasc eochracha an gheata a léamh. Suiteáladh gach rud ar aon mheaisín amháin mar gur fhóir sé, agus tugadh rochtain leathan do gach aíonna mar ba é sin an bealach is tapúla chun é a chur ag obair. Is é an toradh óstach a bhfuil a theorainn muiníne mar an cábla cumhachta. Is lú obair é na róil a scairt ná mar a chloistear, agus tosaíonn sé lena n-ainmniú.

Trí ról a roinneann gach rud faoi láthair

Teastaíonn rudaí difriúla ó iontráil VPN, ó shraith seirbhísí príobháideacha agus ó rithire tógála. Teastaíonn port poiblí agus líonra caol ar an taobh príobháideach ón gcéad cheann. Teastaíonn stóráil mharthanach agus rúin feidhmchláir ón dara ceann. Feidhmíonn an tríú ceann cód a scríobh duine éigin eile.

Is é an rud a dhéanann an tsiomptóm mearbhlach ná an rochtain chéanna a thabhairt don triúr, mar ansin is féidir le haon duine acu dul i bhfeidhm ar na cinn eile. Is tasc é tasc tógála ar féidir leis an socóg hipear-ríomhaire a shroicheadh ar féidir leis an VPN a stopadh. Is féidir le haíonna seirbhíse a bhfuil bealach aige chuig an líonra bainistíochta cumraíocht an lasc a athrú. Is iad na pribhléidí an fhadhb, agus ní hé an liosta próiseas ach an áit a dtagann sé chun solais. Má aimsítear na róil ar dtús, faigheann gach pribhléid áit le maireachtáil.

Is pointe tosaigh don scair sin é an sceitse thíos, ní gealltanas ardfháilteachta. Caith leis mar hipitéis le fíorú, ní mar an dearadh críochnaithe.

Scair trí ról, ní trí phróiseas

Tugann trí aíonna ar aon óstach trí shraith pribhléide agus trí shuíomh líonra. Ní thugann siad trí fhearann teipe, agus ba cheart don dearadh é sin a rá go hard.

Ní chabhraíonn an scaradh ach amháin mura dtugann comhréiteach in aon aíonna na pribhléidí do na cinn eile go huathoibríoch, agus is socrú hipear-ríomhaire é sin seachas coinbhinsiún ainmniúcháin. Ní choisceann sé ar aíonna eile an t-óstach a shroicheadh má thugtar geata ar VM. Léigh cumraíocht an lasc fhíorúil in ionad ainm an óstaigh, agus ansin deimhnigh go bhfuil gach aíonna suite san áit a cheapann tú.

host
├─ vpn-gw      10.60.10.2/24   public 51820/udp only
├─ services    10.60.0.10/24   no route to the management network
└─ ci-runner   10.60.20.2/24   outbound only, no host socket

Scríobh an topolaíocht síos agus ansin fíoraigh í leis na huirlisí a shealbhaíonn í. Is fionnachtain é aíonna a thaispeántar ar an droichead mícheart, ní mionsonra. Ceartaigh an líonra sula n-athraíonn tú aon chumraíocht seirbhíse.

Lig don aíonna VPN na doirse a shealbhaíonn sé amháin a oscailt

Foilsigh port an tolláin ar an ródaire agus faic eile. Baineann poirt riaracháin aíonna le cosán bainistíochta, ní leis an idirlíon, agus baineann comhéadan an hipear-ríomhaire féin leis an áit chéanna.

Ba cheart don líonra ar an taobh príobháideach na seirbhísí a theastaíonn ó úsáideoirí cianda a shroicheadh agus stopadh ansin. Fanann fíordheimhniú an fheidhmchláir ar siúl, mar is iompar é tollán agus ní logáil isteach. Coinnigh tábla ródaithe an aíonna VPN chomh beag sin gur féidir é a thuairisciú in aon abairt amháin. Mura féidir leat é a thuairisciú chomh simplí sin, tá an teorainn doiléir cheana féin.

virsh net-list --all
virsh net-dumpxml lab-private
sudo nft list ruleset | grep -n -E '51820|10.60'

Níor cheart d'aon rud a éisteann ar an óstach agus nach bhfuil ag teastáil don bhainistíocht éisteacht ar chor ar bith. Áirítear leis sin API an hipear-ríomhaire, atá éasca a fhágáil nochta ar chomhéadan poiblí.

Teastaíonn cineál difriúil teorann ó thascanna tógála

Ritheann tasc CI orduithe a rialaíonn an stór, mar sin braitheann a mhuinín ar cé atá in ann cód a bhrú. Ritheann feidhmitheoir bhlaosc na horduithe sin mar úsáideoir an rithire ar an óstach, agus is é sin an teorainn is leithne atá ar fáil.

Tá feidhmitheoirí coimeádán níos cúinge, agus ní bhaineann coimeádán pribhléideach leis na cinn chúnga. Coinnigh an rithire ina aíonna féin lena raon líonra féin, agus ná tabhair dó ach an rochtain ar dhéantáin agus ar imscaradh a theastaíonn ó na tascanna. Laghdaíonn oibrithe indiúscartha an staid a choinnítear; ní laghdaíonn siad inrochtaineacht ná nochtacht rún. Teastaíonn teorainneacha follasacha fós ón dá rud.

Sealbhaíonn an t-aíonna seirbhíse na sonraí, mar sin is é a phlean cúltaca an ceann a chaithfidh oibriú. Coinnigh stóir, uaslódálacha agus an bunachar sonraí san amchlár céanna. Tástáil athchóiriú in ionad stádas an taisc a léamh.

Pleanáil don teip a roinneann an triúr

Is aon fhearann teipe é aon óstach. Baineann atosú an tollán agus gach seirbhís phríobháideach ag an nóiméad céanna, agus is díreach ansin is mó a thábhachtaí bealach isteach.

Coinnigh rochtain consóil nach mbraitheann ar an aíonna VPN, cibé acu consól fisiceach, comhéadan bainistíochta lasmuigh den bhanda nó consól soláthraí atá ann. Ní cóip neamhspleách é léargas a stóráiltear ar an diosca céanna, agus ní hé cúltaca a ritheann laistigh den aíonna a chosnaíonn sé ach an oiread. Ansin tástáil fuar-thosú mar sheicheamh seachas mar sheicliosta: óstach, líonraí fíorúla, cosán an tolláin agus aon fheidhmchlár ainmnithe faoi ghnáthchuntas.

virsh list --all
systemctl is-active libvirtd
curl -sS -m 5 -o /dev/null -w '%{http_code}\n' https://10.60.0.10/
ss -ltnp | grep -E ':51820|:443'

Ní chruthaíonn ord tosaithe próiseas aon rud faoi bhealaí agus faoi DNS, mar sin tástáil an cosán seachas stáit na n-aonad. Is é an cosán an rud a theastaíonn go fírinneach ó úsáideoir cianda.