Cassandra د VPN له لارې: د کلینټونو او نوډونو لپاره جلا لاسرسی

د Cassandra ګمارنه یو واحد نړیوال د معلوماتو اډې شبکه نه لري. اپلیکیشنونه د کلینټ خدمت سره خبرې کوي، د کلسټر غړي یو له بل سره خبرې کوي، او آپریټران اداري انټرفیسونه کاروي، او دا درې لیدونکي باید د یو بل د رسیدو وړتیا په میراث کې ونه لري. لکه VPN داسې یوه خصوصي لاره ښه پیل ټکی ده، خو دا د معلوماتو اډې د کاروونکي هویت نه دی او نه د هغې د کوډ کولو پالیسي ده. د اړیکې پرېکړه او د اجازې پرېکړه د دوو جلا بیاکتنو په توګه وګورئ.

هر یو له دې دریو لیدونکو خپل ځواب ترلاسه کوي، او لاندې برخې هغوی د ښکاره کیدو په ترتیب سره اخلي.

درې لیدونکي، درې پرېکړې

مخکې له دې چې کوم قانون ته لاس ووهئ، معلومه کړئ چې هرې ډلې واقعاً څه ته اړتیا لري. کلینټونو ته کلینټ اوریدونکي او د دې لپاره کافي معلوماتو ته اړتیا ده چې هر هغه نوډ ته ورسیږي چې دوی ته ورکول کیدای شي، همکار نوډونو ته د internode پورت باندې د یو بل اړتیا ده، او آپریټرانو ته د مدیریت انټرفیس ته اړتیا ده د هغه څه لپاره چې runbook واقعاً غواړي. درې لیستونه، درې لیدونکي، درې د باور کچې.

عامه غلطي دا ده چې یو هوار خصوصي سګمینټ جوړ شي او فرض شي چې د VPN پوله پاتې کار کوي. د هغې دننه، هغه اپلیکیشن چې کلینټ پورت ته رسیږي معمولاً internode پورت ته هم رسیږي، او د یو آپریټر اداري وسایل ډیری وختونه د اپلیکیشن سره په یوه جمپ هوسټ کې وي. د دوی یو ځای هوارول پدې معنا دي چې یو زیانمن شوی اپلیکیشن هویت لا دمخه د خپلو پوښتنو څخه ډیر لاسرسی لري. درې لیدونکي په ډیزاین سند کې د دریو کرښو په توګه رسم کړئ، هر یو د هغه قانون سره چې اجازه ورکوي، او تشې به د جوړیدو څخه مخکې ښکاره شي.

کلینټونو ته څه اړتیا ده، او نه ډیر

د ګمارل شوي نسخې لپاره د اپلیکیشن پام شوي سرچینو ته د کلینټ پای نقطو ته اجازه ورکړئ، او نامرتبط کلسټر او مدیریت خدمتونه له دې لاسرسي بهر وساتئ. بیا وګورئ چې ډرایور څنګه نوډونه مومي. یو د رسیدو وړ لومړنی اړیکه نقطه ثابتوي نه چې هر هغه نوډ پته چې ډرایور وروسته غوره کوي له هغه کلینټ شرایطو څخه د رسیدو وړ ده، ځکه ډرایور له کلسټر څخه همکاران غواړي او بیا هغه پتو سره نښلوي چې کلسټر اعلانوي.

نو ځکه د خصوصي پتو یو ناسم تطابق هغه پیژندل شوی بڼه رامنځته کوي: یوه بریالۍ لومړنۍ اړیکه او بیا وخت تیریدل. اعلان شوي پتې او کلینټ لارښود په قصدي توګه تنظیم کړئ؛ ټول کلسټر په انټرنیټ کې خپرول د یو ناسم تطابق د سمولو لپاره د لارښود خطا په یوه داسې ښکاره کیدو بدلوي چې بیرته نشئ اخیستلی.

د اپلیکیشن د معلوماتو اډې تصدیق او د رول اجازې هم پلي وساتئ. یو شریک شوی ژباړل شوی VPN پته کیدای شي د ډیرو کاروونکو یا خدمتونو استازیتوب وکړي، نو دا هیڅکله د جلا معلوماتي اډې هویتونو بدیل نه دی.

کلینټ-نوډ او internode په جلا توګه کوډ کړئ

د Apache امنیتي سند د کلینټ-نوډ او internode کوډ کول د جلا ترتیباتو په توګه ګوري، او د یو فعالول بل نه فعالوي. دا توپیر لا هم د VPN دننه پلي کیږي، ځکه ټنل خپل سګمینټ ساتي او په اتوماتيک ډول د اپلیکیشن پروسې څخه د معلوماتو اډې پروسې ته یا د کلسټر غړو د هرې جوړې ترمنځ نه غځیږي.

هغه ترتیب چې دواړه په صریح ډول فعالوي، د کالبې د ډیفالټ په میراث اخیستو پرځای، نږدې داسې ښکاري:

client_encryption_options:
  enabled: true
  optional: false
server_encryption_options:
  internode_encryption: all

په هغو سرور ترتیباتو کې چې اختیاري کلینټ کوډ کول اجازه ورکوي، د TLS منل کیدای شي د نا کوډ شویو اړیکو منلو سره یوځای وي، نو اغیزمنه پالیسي ولولئ نه نیت. د هغو پای نقطو لپاره چې هر کلینټ واقعاً ورسره اړیکه لري د سند نومونه، د باور ویش او نوي کول پلان کړئ؛ د هوسټ نوم ځای په IP پته بدلول د کلینټ د هویت کتنه بدلوي، نه یوازې د هغې لار.

مدیریت په خپله جلا لاره وساتئ

د internode ترافیک ته اجازه ورکړل شوې همکارې ټولګه او خپله ساتنه پالیسي ته اړتیا ده. اداري لاسرسي، په شمول JMX چیرې چې کارول کیږي، جلا لیدونکو او خپل تصدیق ته اړتیا لري. هغه اپلیکیشن چې عادي پوښتنو ته اجازه لري د دې له مخې هر مدیریت وړتیا ته اړتیا نه لري، او برعکس یې بدتر دی: د اپلیکیشن سګمینټ ته ښکاره شوې اداري لاره د یوې خطا څخه تر بیا جوړولو پورې ترټولو لنډه لاره ده. هغه دوه لیدونکي په جلا توګه ولیکئ او د هغوی مالکین ونوموئ، ځکه دوی معمولاً جلا ټیمونه دي چې قوانین یې په ناڅاپي ډول یوځای شوي.

اغیزمن کلاوډ قوانین، د هوسټ قوانین او د اوریدونکي ترتیب په یوه کرښه کې وساتئ. یو خصوصي اوریدونکی لا هم کیدای شي د نا پام ژباړې یا پراکسي له لارې ښکاره شي، او یو پراخه عامه قانون کیدای شي د یو تنګ VPN قانون ترڅنګ په چوپتیا کې پاتې شي ترڅو چې څوک دواړه یوځای وګوري.

چیرې چې آپریټرانو واقعاً مدیریتي لارې ته اړتیا لري، هغې ته نومول شوی مالک او د اپلیکیشن څخه لنډ د اعتبار موده ورکړئ. دا د استازیتوب لیدل کیږي کله چې بل کس کلسټر په میراث اخلي.

ډیزاین څه ژمنه کوي

درې واړه ژمنې د اصلي رولونو سره تایید کړئ نه یوازې د اړیکې ازموینو سره. یو منل شوی اپلیکیشن باید خپل اجازه لرونکی کار بشپړ کړي او نه ډیر، یوه ایستل شوې سرچینه باید د کلینټ ننوتلو ته ناکامه شي، او د اپلیکیشن هویت باید په ځانګړو اداري لارو کې رد شي. کلینټ بیا نښلول او نوډ غوره کول په همدې خپریدو ازموینه کې اضافه کړئ، ځکه چې د موندنې غلطۍ همالته ښکاره کیږي.

په ډیزاین سند کې په دریو جملو سره پای ته ورسئ: کوم کلینټونه پوښتنه کولی شي، کوم نوډونه اړیکه کولی شي، او کوم آپریټران مدیریت کولی شي. د VPN شاته اوسیدل ګټور ټوپولوژي معلومات دي، خو د هغو دریو پوښتنو څخه د یوې ځواب نه دی.