Cassandra fuq VPN: aċċess separat għall-klijenti u għan-nodi

Deployment ta’ Cassandra m’għandux network wieħed universali tad-database. L-applikazzjonijiet jitkellmu mas-servizz tal-klijenti, il-membri tal-cluster jitkellmu ma’ xulxin, u l-operaturi jużaw interfaces amministrattivi, u dawn it-tliet udjenzi m’għandhomx jirtu l-aċċessibilità ta’ xulxin. Passaġġ privat bħal VPN huwa punt tat-tluq tajjeb, iżda mhuwiex l-identità tal-utent tad-database u mhuwiex il-politika tal-kriptaġġ tagħha. Ittratta d-deċiżjoni dwar il-konnettività u d-deċiżjoni dwar l-awtorizzazzjoni bħala żewġ reviżjonijiet separati.

Kull waħda mit-tliet udjenzi tieħu t-tweġiba tagħha, u s-sezzjonijiet hawn taħt jitrattawhom fl-ordni tal-espożizzjoni.

Tliet udjenzi, tliet deċiżjonijiet

Identifika x’għandha bżonn kull grupp fil-verità qabel ma tmiss regola. Il-klijenti jeħtieġu l-listeners tal-klijenti u biżżejjed informazzjoni biex jilħqu kull nod li jistgħu jingħataw, in-nodi pari jeħtieġu lil xulxin fuq il-port bejn in-nodi, u l-operaturi jeħtieġu l-interface tal-ġestjoni għal dak li l-runbook verament jeħtieġ. Tliet listi, tliet udjenzi, tliet livelli ta’ fiduċja.

L-iżball komuni huwa li tibni segment privat wieħed ċatt u tassumi li l-fruntiera tal-VPN tagħmel il-bqija. Ġo fih, applikazzjoni li tilħaq il-port tal-klijenti normalment tilħaq ukoll il-port bejn in-nodi, u l-għodod amministrattivi tal-operatur spiss joqogħdu fuq l-istess jump host bħall-applikazzjoni. L-iffaċċjar ta’ dawn flimkien ifisser li identità ta’ applikazzjoni kompromessa diġà għandha aktar firxa mill-mistoqsijiet tagħha stess. Iġbed it-tliet udjenzi bħala tliet ringieli fid-dokument tad-disinn, kull waħda bir-regola li tippermettiha, u l-vojt isiru viżibbli qabel ma xi ħadd jibnihom.

X’jeħtieġu l-klijenti, u xejn aktar

Ħalli s-sorsi tal-applikazzjoni maħsuba jilħqu l-endpoints tal-klijenti għall-verżjoni mibnija, u żomm is-servizzi tal-cluster u tal-ġestjoni mhux relatati barra minn dik il-firxa. Imbagħad iċċekkja kif il-driver jiskopri n-nodi. Punt ta’ kuntatt inizjali aċċessibbli ma jippruvax li kull indirizz ta’ nod li jibgħat il-driver wara huwa aċċessibbli minn dak il-kuntest tal-klijenti, għax id-driver jistaqsi lill-cluster għall-pari u mbagħad jikkonnettja mal-indirizzi li l-cluster jirreklama.

Għalhekk nuqqas ta’ qbil wieħed fl-indirizz privat jipproduċi l-mudell familjari: konnessjoni inizjali b’suċċess segwita minn timeouts. Ikkonfigura l-indirizzi mreklamati u r-rotta tal-klijenti b’mod deliberat; li tippubblika l-cluster kollu fuq l-internet biex issewwi nuqqas ta’ qbil wieħed ibiddel bug tar-rotta ma’ espożizzjoni li ma tistax tieħu lura.

Żomm ukoll l-awtentikazzjoni tad-database tal-applikazzjoni u l-permessi tar-rwol. Indirizz VPN kondiviż u tradott jista’ jirrappreżenta ħafna utenti jew servizzi, għalhekk qatt mhu sostitut għal identitajiet tad-database distinti.

Ittridex b’mod separat il-konnessjoni klijent-le-nod u bejn in-nodi

Id-dokumentazzjoni tas-sigurtà ta’ Apache ittratta t-tqassim bejn il-klijent u n-nodu u bejn in-nodi bħala konfigurazzjonijiet separati, u l-attivazzjoni ta’ waħda ma tattivax l-oħra. Dik id-distinzjoni għadha tapplika ġewwa VPN, għax it-tunnel jipproteġi s-segment tiegħu stess u ma jestendix awtomatikament mill-proċess tal-applikazzjoni għall-proċess tad-database jew bejn kull par membri tal-cluster.

Konfigurazzjoni li tixgħel it-tnejn b’mod espliċitu, minflok ma tiret il-valur default tal-mudell, tidher bejn wieħed u ieħor hekk:

client_encryption_options:
  enabled: true
  optional: false
server_encryption_options:
  internode_encryption: all

Fuq konfigurazzjonijiet tas-server li jippermettu kriptaġġ tal-klijenti fakultattiv, l-aċċettazzjoni ta’ TLS tista’ teżisti flimkien mal-aċċettazzjoni ta’ konnessjonijiet mhux ċifrati, allura aqra l-politika effettiva u mhux il-ħsieb. Ippjana ismijiet taċ-ċertifikati, id-distribuzzjoni tal-fiduċja u t-tiġdid għall-endpoints li kull klijent verament jikkuntattja; li tissostitwixxi isem tal-host b’indirizz IP ibiddel il-verifika tal-identità tal-klijenti, mhux biss ir-rotta tiegħu.

Żomm l-amministrazzjoni fuq il-passaġġ tagħha stess

It-traffiku bejn in-nodi jeħtieġ is-sett tal-pari permess u l-politika tal-protezzjoni tiegħu stess. L-aċċess amministrattiv, inkluż JMX fejn jintuża, jeħtieġ udjenza separata u l-awtentikazzjoni tiegħu stess. Applikazzjoni li tista’ tagħti mistoqsijiet ordinarji mhijiex għalhekk neċessarja li jkollha kull kapaċità tal-ġestjoni, u l-oppost huwa agħar: passaġġ amministrattiv espost għas-segment tal-applikazzjonijiet huwa l-iqsar triq minn bug għal bini mill-ġdid. Ikteb dawn iż-żewġ udjenzi separatament, u semmi s-sidien tagħhom, għax normalment huma timijiet differenti li r-regoli tagħhom ingħaqdu b’inċident.

Żomm allinjati r-regoli effettivi tal-cloud, ir-regoli tal-host u l-konfigurazzjoni tal-listener. Listener privat xorta jista’ jkun espost permezz ta’ traduzzjoni jew proxy mhux maħsuba, u regola pubblika wiesgħa tista’ toqgħod kwieta ħdejn regola dejqa tal-VPN sakemm xi ħadd jaċċerta t-tnejn flimkien.

Fejn l-operaturi verament jeħtieġu passaġġ tal-ġestjoni, agħtih sid imsemmi u ħajja tal-kredenzjali iqsar minn dik tal-applikazzjoni. Dan iżomm id-delega viżibbli meta l-persuna li jmiss tiret il-cluster.

X’twegħed id-disinn

Ivvalida t-tliet wegħdiet b’rwoli reali u mhux biss b’testijiet tal-konnettività. Applikazzjoni approvata għandha tlesti x-xogħol permess tagħha u xejn aktar, sors eskluż għandu jonqos fid-daħla tal-klijenti, u identità tal-applikazzjoni għandha tiġi rrifjutata fil-passaġġi amministrattivi riservati. Żid ir-rikonnessjoni tal-klijenti u l-għażla tan-nodi mal-istess test tal-varar, għax hemmhekk joħorġu l-iżbalji tal-iskoperta.

Iffinalizza b’tliet sentenzi fid-dokument tad-disinn: liema klijenti jistgħu jistaqsu, liema nodi jistgħu jikkomunikaw u liema operaturi jistgħu jamministraw. Li tkun wara VPN hija informazzjoni utli tat-topoloġija, iżda mhijiex tweġiba għal waħda minn dawn it-tliet mistoqsijiet.