VPN реестри: көздөлгөн жетүү, жаралган конфигурация, тирүү сессиялар
Туннелдин аталышы — байкоо, кызматтын жазуусу эмес. Бир нерсени токтотпой туруп, ижарачыны, жайгаштырылган конфигурацияны жана эсептин далилдерин бириктириңиз.
Ар бир туннелдин аталышы реестрдин сапына окшош, ал кимге таандык экенин сураганга чейин. Аталыш азыр бир нерсе туташтырылганын айтат; кызмат кимге таандык экенин, аларга эмнеге жетүүгө уруксат экенин же туннелди жараткан конфигурация сиз бекиткен конфигурация экенин айта албайт. Флоттун масштабында ушул үч суроо реестрдин өзү, ал эми туннел — эң акыркы байкоо гана.
Бир кызмат, үч жазуу
Көздөлгөн кызмат — ижарачынын укугу бар нерсе: идентификаторлор, префикстер, ресурстар жана жашоо циклинин абалы. Жайгаштырылган конфигурация — аны ишке ашырууга тийиш болгон жаралган саясат. Байкалган сессия — бир нерсе туташтырылганы тууралуу аткаруу убагындагы далил. Аларды бир таблица катары кароо үч түрдүү чындыкты бир эле учурда үч жактан ката бир сапка кысып киргизет.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
Практикалык сыноо — ар бир жазуу өзү жооп бере алган суроо. Бул префикс кимдики деп сураңыз, көздөлгөн кызматтын жазуусу жооп берет. Шлюзда кандай саясат бар деп сураңыз, жайгаштырылган жазуу жооп берет. Ушул аптада бирөө аны колдондубу деп сураңыз, сессия жазуусу жооп берет. Өз суроосуна жооп бере албаган тилке — биринчи оңдолушу керек болгон тилке.
Ижарачыны жазыңыз, интерфейсти эмес
Ар бир кызматка кайра туташуудан кийин сакталуучу идентификатор бериңиз. Убактылуу туннелдин интерфейси же сессия номери кардарга тиешеси жок себептерден улам өзгөрөт, ал эми ошолордун бирине ачкычталган реестр байланыш термелген сайын жаңы сап алат. Анын ордуна аны ижарачы менен кызматка ачкычтап, анан байкоолорду ошол ачкычка тиркеңиз.
Жазууга жооптуу ижарачы жана оператор, кабыл алынган өнөктөш же колдонуучунун идентификатору, күбөлүккө шилтеме, анын көчүрмөсү эмес, корголгон префикстер, маршруттоо контексти, уруксат берилген ресурстар жана көздөлгөн жашоо циклинин абалы керек. Күбөлүк материалы колдоого алынган жашыруун сактоочу жайга таандык; жеке ачкычтарды алып жүргөн реестр чөйрөнүн экинчи, начар корголгон көчүрмөсүнө айланган.
Жаралган конфигурациянын ээси жана версиясы бар
Автоматташтыруу муну жеңилдетет жана жакшыраак жашырат. Ийгиликтүү иштеген генератор шаблон көрсөтүлгөнүн далилдейт, ар бир түзмөк чыгышка дал келерин эмес. Бирөө окуя учурунда шлюзду кол менен өзгөртөт, жана ошол өзгөртүү — жазып алууга татыктуу эң баалуу нерсе, анткени аны кийинки эч бир иштетүү кайталабайт.
Жайгаштырылган саясатты кайсы ревизия жаратканын жазыңыз, жана түз өзгөртүүлөрдү макулдашууга тийиш айырма катары сактаңыз аларды үнсүз үстүнөн жазуунун ордуна. Макулдашуу — ушул жердеги продукт: генератордун ийгилиги жана түзмөктүн чыныгы абалы салыштырылуучу эки факт, барабар деп божомолдоого болбойт.
Сессиялар — далил, уруксат эмес
Жайгаштыруу RADIUS эсебин колдонгон жерде, RFC 2866 иштөө үчүн конкреттүү талааларды берет. Acct-Status-Type башталышты токтоодон ажыратат, ал эми бир сессияга таандык жазуулар Acct-Session-Id бөлүшөт. Бул талаалар башкаруу панелинин жыйынтыгына ишенбей эле сессиянын качан башталып, качан бүткөнүн кайра курууга мүмкүндүк берет.
Эсептин идентификатору — аткаруу убагындагы далил. Ал кайсы ижарачынын кошумча тармакка ээ экенин аныктабайт жана эч нерсеге жетүүгө уруксат бербейт. Аны шлюз жана кызматтын идентификатору менен байланыштырып, анан чогултуу убактысын байкоонун жанында кармаңыз. Жок отчёт колдонуунун жоктугу эмес, телеметриянын бузулушу болушу мүмкүн, ал эми эски жазуу жетүүнүн азыр да активдүү экенин далилдебейт.
Токтотуу ошол эле бириктирүүнү колдонот
Кызматты алып салуу — көздөлгөн жетүүнү, күбөлүктөрдү жана тирүү сессияларды ушул тартипте, ар биринин ээлери аркылуу алып салуу. Андан кийин эскирген конфигурация түзмөктөрдөн кеткенин жана анын уруксат берилген жолдору эми чечилбей турганын текшериңиз. Өткөн чейректе кеткен кардар туннелдин аталышы өчүрүлүп, маршрут өчүрүлбөгөндүктөн префикстер тизмесинде кала бербеши керек.
Булардын эч бири ар бир функцияга бир түзмөктү же белгилүү бир автоматташтыруу продуктусун талап кылбайт. Операциялык талап тар жана кыйыныраак: кардар, анын көздөлгөн жетүүсү, жайгаштырылган саясат жана учурдагы аткаруу далилдери бирөөнүн туннелдин аталышы тууралуу эсине таянбастан бириктирилиши керек. Адегенде үч жазууну куруп, анан аларды кармап турган куралдарды тандаңыз.