Бұлттық VPN-іңіз әлі де хостинг провайдеріне тәуелді

Қонақты әкімшілендіру сізге гипервизорды, желіні немесе аккаунтты бермейді. Туннель ішінен түзете алмайтын тәуелділіктерді жоспарлаңыз.

Сіз операциялық жүйені орнаттыңыз, қызметті қатайттыңыз және кілттер сіздің қолыңызда, сондықтан сервер сіздікі сияқты сезіле бастайды. Ол сіздікі жалдамалы пәтер сияқты: есік құлпы сіздің бақылауыңызда, ал ғимарат емес. Гипервизор, инстанция алдындағы желі және бәрін қайта құра алатын аккаунт басқа біреудің меншігінде. Осы айырмашылық қалпына келтіру жоспары нені қамтуы керектігін анықтайды және өздігінен хостинг ең аз өзгертетін бөлік осы.

Аккаунт — нағыз басқару жазықтығы

Хостинг аккаунты виртуалды машинаны, оның дискілерін, суреттерін, жария мекенжайларын және желі ережелерін басқарады. Осының барлығын қонаққа кірмей-ақ өзгертуге болады, бұл аккаунтты көптеген VPN нұсқаулықтары сипаттайтын қауіп үлгісінің сыртына шығарады. Мінсіз туннель конфигурациясы дискіні алмастыратын аккаунт әрекетіне де төтеп береді.

Бұл аккаунтты жеке актив ретінде қорғаңыз: тәуелсіз тіркелгі деректері, аппараттық қамтамасыз етілген екінші факторлар және біреу шынымен оқитын аудит ізі. Оны VPN қызметімен бірдей құпиясөз менеджері жазбасында бөлісу — қалған барлық бақылауды мағынасыз ететін қате.

Провайдердің міндеттер бөлінісін жалпы бұлт үшін емес, нақты өнім үшін оқыңыз. Ортақ жауапкершілік моделі қабаттардың қалай бөлінетінінің пайдалы мысалы, ал басқа провайдерлер оны мұра етудің орнына өз шекараларын сипаттайды. Сіз қандай ақауларды өзіңіз түзетуге тиіссіз және қайсыларын тек хабарлай алатыныңызды іздейсіз.

Сіз басқара алмайтын инфрақұрылым оқиғалары

Тірі көшіру, хостқа қызмет көрсету, физикалық түйіндегі аппараттық ақау және сыйымдылық оқиғасы — бәрін провайдер өз кестесімен шешеді. Сіз қайта жүктеуді, қысқа пакет жоғалтуын немесе мекенжайдың өзгеруін көруіңіз мүмкін, бірақ себебін көрмейсіз. Инстанцияны тұрақты нүкте деп қарайтын дизайн олардың әрқайсысын VPN ақауы деп түсінеді. Дұрыс әрекет — қызметті жойылып кететін инстанцияға төзімді ету, ал сізге ешқашан көрсетілмейтін себепті тергеу емес.

Сақтық көшірмелер осы қабатқа жатады, туннельге емес. Сервер конфигурациясын, сәйкестендірулерді, мекенжай жоспарын және рұқсат етілген маршруттарды инстанцияның қолжетімділігіне тәуелді емес жерде сақтаңыз және көшірмені түпнұсқа дискісіз қалпына келтіруге болатынын растаңыз.

Мекенжай мінез-құлқы жеке тексеруге лайық. Жария мекенжайдың тоқтатудан, ауыстырудан немесе жоюдан кейін сақталуы оның қалай бөлінгеніне байланысты, ал бұл үш операция бір-бірінің орнын баспайды. Оқиға сұрақты шұғыл етпей тұрып, қайсысына сүйенетініңізді жазып қойыңыз.

Қайта құрудан кейін не сақталатынын тексеріңіз

Қалпына келтіру жолын бәрі жұмыс істеп тұрғанда құрыңыз. Провайдер ұсынатын консольді немесе жолақтан тыс қолжетімділікті анықтаңыз, оған туннельсіз жететініңізді растаңыз және тіркелгі деректерін сынған ноутбук немесе жоғалған телефон алып кетпейтін жерде сақтаңыз. Егер жергілікті файрвол өзгерісі туннельді бөгетсе, сол консоль — қайтудың жалғыз жолы.

curl -s http://169.254.169.254/latest/meta-data/instance-id
curl -s http://169.254.169.254/latest/meta-data/public-ipv4
cloud-init status --long

Метадеректер қызметі қонақ басқаша көре алмайтын инстанция туралы сұрақтарға жауап береді, ал оның нақты жолдары провайдерлер мен платформалар арасында өзгеше, сондықтан оларды сіз іске қосатын өнімнің құжаттамасымен салыстырыңыз. Содан кейін сынақ инстанциясын бір рет бақыланатын қайта құруды орындап, уақытын өлшеңіз. Ешкім орындамаған қалпына келтіру рәсімі — болжам ғана.

Қайта құру мекенжайға, хост кілттеріне, дискінің сәйкестігіне және клиенттер бекітетін барлық нәрсеге не істегенін байқаңыз. Хост кілтін кэштеген клиенттер қайта құрудан кейін шағымданады, және бұл шағым — басылуға тиіс қате емес, дұрыс мінез-құлық.

Өздігінен хостинг нақты нені өзгертетінін шешіңіз

Өз VPN-іңізді іске қосу сенімді VPN операторынан хостинг провайдері мен өзіңізге ауыстырады. Бұл нақты өзгеріс және үшінші тарапты жоюмен бірдей емес. Егер мақсат коммерциялық VPN-ге трафикті бақылауға жол бермеу болса, провайдер әлі де инстанцияның желісін, дискісін және төлем жазбаларын бақылай алады.

Сіздің журналдарыңыз бағдарламалық жасақтамаңызды сипаттайды және провайдер сақтайтын әрбір инфрақұрылым жазбасын сипаттамайды. Керісінше де дұрыс: инфрақұрылымның көрінуі провайдердің нені сақтайтынын дәлелдемейді. Екі сұрақ та провайдердің саясаты мен сіздің конфигурацияңызды қажет етеді және бірі екіншісіне жауап бермейді.

Жауапты еңбек бөлінісі ретінде жазыңыз: қай қабат істен шықты, кім оны жөндей алады және бұл жөндеу қанша уақыт алады. Өздігінен хостинг кімге сенетініңізді өзгертеді, ал жаттығудың пайдалы бөлігі — қай қабат үшін оларға сенетініңізді дәл білу.

Қатысты мақалалар