Cassandra VPN аркылуу: кардарларга жана түйүндөргө өзүнчө кирүү

Бир Cassandra кластери үч аудиторияны жашырат. Кардарлардын, тең түйүндөрдүн жана операторлордун ага кантип жетээрин өзүнчө чечиңиз жана инсандыкты VPN жолунун ичинде кармаңыз.

Cassandra жайгаштыруусунда бир универсалдуу маалымат базасынын тармагы болбойт. Колдонмолор кардар кызматы менен сүйлөшөт, кластер мүчөлөрү өз ара сүйлөшөт, ал эми операторлор административдик интерфейстерди колдонушат, жана бул үч аудитория бири-биринин жетүү чегин мурастабашы керек. VPN сыяктуу жеке жол жакшы баштапкы чекит, бирок ал маалымат базасынын колдонуучу инсандыгы эмес жана анын шифрлөө саясаты эмес. Байланыш тууралуу чечимди жана уруксат берүү тууралуу чечимди эки өзүнчө кароо катары караңыз.

Үч аудиториянын ар бири өз жообун алат, ал эми төмөнкү бөлүмдөр аларды таасир этүү тартибинде карашат.

Үч аудитория, үч чечим

Каалаган эрежеге кол тийгизээрден мурун ар бир топко чындап эмне керек экенин аныктаңыз. Кардарларга кардардын угуучусу жана аларга берилиши мүмкүн болгон ар бир түйүнгө жетүү үчүн жетиштүү маалымат керек, тең түйүндөргө түйүнаралык портто бири-бири керек, ал эми операторлорго runbook чындап талап кылган нерсе үчүн башкаруу интерфейси керек. Үч тизме, үч аудитория, ишенимдин үч деңгээли.

Көп кездешүүчү ката — бир тегиз жеке сегмент куруп, VPN чети калганын жасайт деп ойлоо. Анын ичинде кардар портуна жеткен колдонмо адатта түйүнаралык портко да жетет, ал эми оператордун административдик куралдары көбүнчө колдонмо менен бир секирүү хостуда турат. Аларды бирге тегиздөө бузулган колдонмо инсандыгынын өз суроолорунан чоңураак жетүү чегине ээ экенин билдирет. Долбоордук документте үч аудиторияны үч сап катары сызыңыз, ар биринин жанында ага уруксат берген эреже болсун, ошентип боштуктар бирөө аларды курардан мурун көрүнөт.

Кардарларга эмне керек, андан ашык эмес

Жайгаштырылган версия үчүн максаттуу колдонмо булактарына кардардын акыркы чекиттерине жетүүгө уруксат бериңиз, ал эми байланышы жок кластердик жана башкаруу кызматтарын бул жетүү чегинен тышкары кармаңыз. Андан кийин драйвер түйүндөрдү кантип табаарын текшериңиз. Жеткиликтүү баштапкы байланыш чекити драйвер кийин тандаган ар бир түйүн дареги ошол кардар контекстинен жеткиликтүү экенин далилдебейт, анткени драйвер кластерден теңдештерди сурап, анан кластер жарыялаган даректерге туташат.

Ошондуктан жеке даректин бир дал келбестиги тааныш үлгүнү жаратат: ийгиликтүү биринчи туташуу, анан убакыттын бүтүшү. Жарыяланган даректерди жана кардар маршруттоосун атайын конфигурациялаңыз; бир дал келбестикти оңдоо үчүн бүт кластерди интернетке жарыялоо маршруттоо катасын кайтарып алгыс ачыкка чыгаруу менен алмаштырат.

Колдонмонун маалымат базасынын аутентификациясын жана ролдук уруксаттарын да ордунда кармаңыз. Жалпы которулган VPN дареги көптөгөн колдонуучуларды же кызматтарды билдириши мүмкүн, ошондуктан ал эч качан өзүнчө маалымат базасынын инсандыктарын алмаштырбайт.

Кардар-түйүнгө жана түйүнаралык байланышты өзүнчө шифрлеңиз

Apache коопсуздук документтери кардар-түйүнгө жана түйүнаралык шифрлөөнү өзүнчө конфигурациялар катары карашат, жана бирин күйгүзүү экинчисин күйгүзбөйт. Бул айырма VPN ичинде да колдонулат, анткени туннель өз сегментин коргойт жана колдонмо процессинен маалымат базасынын процессине же кластер мүчөлөрүнүн ар бир жубунун ортосуна автоматтык түрдө таралбайт.

Экөөнү тең ачык күйгүзгөн, шаблондун демейки маанисин мурастагандын ордуна, конфигурация чамасында мындай көрүнөт:

client_encryption_options:
  enabled: true
  optional: false
server_encryption_options:
  internode_encryption: all

Кошумча кардар шифрлөөсүнө уруксат берген сервер конфигурацияларында TLS кабыл алуу шифрленбеген туташууларды кабыл алуу менен катар болушу мүмкүн, ошондуктан ниетти эмес, иш жүзүндөгү саясатты окуңуз. Ар бир кардар чындап байланышкан акыркы чекиттер үчүн сертификат аттарын, ишенимди бөлүштүрүүнү жана жаңыртууну пландаңыз; хост атын IP дареги менен алмаштыруу кардардын инсандыгын текшерүүнү өзгөртөт, анын маршрутун гана эмес.

Администрацияны өз жолунда кармаңыз

Түйүнаралык трафикке уруксат берилген теңдештер топтому жана өз коргоо саясаты керек. Административдик кирүүгө, колдонулган жерде JMX кошкондо, өзүнчө аудитория жана өз аутентификациясы керек. Жөнөкөй суроолорду берүүгө уруксаты бар колдонмо ошонун негизинде башкаруунун бардык мүмкүнчүлүктөрүн талап кылбайт, ал эми тескерисинче начар: колдонмо сегментине ачык административдик жол катадан кайра курууга чейинки эң кыска жол. Бул эки аудиторияны өзүнчө жазыңыз жана алардын ээлерин атаңыз, анткени адатта бул эрежелери кокустан бириктирилген башка командалар.

Иш жүзүндөгү булут эрежелерин, хост эрежелерин жана угуучу конфигурациясын шайкеш кармаңыз. Жеке угуучу дагы эле кокустан которуу же прокси аркылуу ачык болушу мүмкүн, ал эми кенен коомдук эреже кууш VPN эрежесинин жанында тынч тура алат, бирөө экөөнү тең бир убакта текшермейинче.

Операторлорго чындап башкаруу жолу керек болгон жерде ага аталган ээ жана колдонмого караганда кыскараак эсептик маалыматтардын өмүрүн бериңиз. Бул кийинки адам кластерди мурастаганда өкүлчүлүктү көрүнүктүү кармайт.

Долбоор эмнени убада кылат

Үч убаданы тең байланыш тесттери менен гана эмес, чыныгы ролдор менен текшериңиз. Бекитилген колдонмо өзүнө уруксат берилген ишти бүтүрүшү керек, андан ашык эмес, чыгарылган булак кардар кире беришинде ийгиликсиз болушу керек, ал эми колдонмо инсандыгына сакталган административдик жолдордо баш тартылышы керек. Кардардын кайра туташуусун жана түйүндү тандоону ошол эле жайгаштыруу тестине кошуңуз, анткени аныктоо каталары дал ошол жерде бет алат.

Долбоордук документте үч сүйлөм менен аяктаңыз: кайсы кардарлар суроо бериши мүмкүн, кайсы түйүндөр байланыша алат жана кайсы операторлор башкара алат. VPN артында болу пайдалуу топологиялык маалымат, бирок ал бул үч суроонун бирине да жооп эмес.

Тектеш макалалар