یو لابراتواري سرور، درې د باور رولونه، یوه د ناکامۍ سیمه

هر څه کار کوي تر هغه چې د جوړونې رنر ته هغه هوسټ ساکټ ته اړتیا نه وي چې VPN مېلمه یې کاروي، او بیا نشي کولای څوک تشریح کړي چې ولې یوه دنده د ګېټوې کلیدونه لوستلای شي۔ هر څه پر یوه ماشین نصب شول ځکه چې سم ځای و، او هر مېلمه ته پراخه لاسرسی ورکړل شو ځکه چې دا د کار کولو تر ټولو ژر لار وه۔ پایله یو هوسټ دی چې د باور پوله یې د برېښنا کیبل دی۔ د رولونو وېشل هغومره کار نه غواړي څومره چې اورېدل کېږي، او د هغوی په نومونو پیلېږي۔

درې رولونه چې اوس هر څه شریکوي

د VPN ننوتل، د خصوصي خدمتونو ټولګه او د جوړونې رنر مختلف شیان غواړي۔ لومړنی عام پورټ او د خصوصي اړخ تنګ شبکه غواړي۔ دویم تلپاتې زېرمه او د اپلیکیشن رازونه غواړي۔ دریم هغه کوډ چلوي چې بل چا لیکلی وي۔

درې واړو ته یو شان لاسرسی ورکول هغه څه دي چې نښه په زړه پوښتنه اړوي، ځکه بیا یې هر یو کولای شي نورو ته زیان ورسوي۔ د جوړونې دنده چې هایپر وایزر ساکټ ته رسېدلای شي، هغه دنده ده چې VPN بندولای شي۔ د خدمتونو مېلمه چې د مدیریت شبکې ته لار ولري، د سویچ ترتیب بدلولای شي۔ ستونزه واکونه دي، او د پروسو لړلیک یوازې هغه ځای دی چې ښکاري۔ لومړی د رولونو نومول هر واک ته د اوسېدو ځای ورکوي۔

لاندې خاکه د دې وېش د پیل ټکی دی، نه د لوړې شتون ژمنه۔ هغه د ازموینې وړ فرضیه وګڼئ، نه بشپړ ډیزاین۔

درې رولونه ووېشئ، نه درې پروسې

پر یو هوسټ درې مېلمانه درې واک ټولګې او درې شبکوي موقعیتونه درکوي۔ هغوی درې د ناکامۍ سیمې نه درکوي، او ډیزاین باید دا په لوړ غږ ووایي۔

جلاوالی یوازې هغه وخت مرسته کوي چې په یو مېلمه کې نفوذ نورو ته په خپله لاسرسی ورنکړي، او دا د هایپر وایزر ترتیب دی، نه د نومونو دود۔ یوه مجازي ماشین ګېټوې بلل نور مېلمه له هوسټ ته رسېدو نه منع کوي۔ د هوسټ نوم پر ځای د مجازي سویچ ترتیب ولولئ، بیا تایید کړئ چې هر مېلمه هغه ځای کې دی چې تاسو یې فکر کوئ۔

host
├─ vpn-gw      10.60.10.2/24   public 51820/udp only
├─ services    10.60.0.10/24   no route to the management network
└─ ci-runner   10.60.20.2/24   outbound only, no host socket

ټوپولوژي ولیکئ او بیا یې په هغو وسایلو وازموئ چې خاوندان یې دي۔ مېلمه چې پر ناسم برېج ښکاري، یوه موندنه ده نه یو تفصیل۔ د هر خدمت ترتیب بدلولو دمخه شبکه سمه کړئ۔

پر VPN مېلمه یوازې هغه دروازې پرانیستلې چې خپلې دي

د تونل پورټ پر روټر خپور کړئ او نور هیڅ نه۔ د مېلمنو مدیریت پورټونه د مدیریت لارې ته اړوند دي، نه انټرنیټ ته، او د هایپر وایزر خپل انټرفېس هم هلته اړوند دی۔

د خصوصي اړخ شبکه باید هغو خدمتونو ته ورسېږي چې لرې کاروونکو ته اړین دي او هماغه ځای ودرېږي۔ د اپلیکیشن تصدیق فعال پاتې کېږي، ځکه تونل لېږد دی نه ننوتل۔ د VPN مېلمه د لارښوونې جدول دومره کوچنی وساتئ چې په یوه جمله یې تشریح کړای شئ۔ که یې دومره ساده تشریح نکړای شئ، پوله لا دمخه خړه شوې ده۔

virsh net-list --all
virsh net-dumpxml lab-private
sudo nft list ruleset | grep -n -E '51820|10.60'

هر څه چې پر هوسټ اورېدل کېږي او مدیریت ته اړین نه دي، باید هېڅ اورېدل ونکړي۔ دا د هایپر وایزر API هم شاملېږي، چې پر عامه انټرفېس یې پرېښودل اسانه دي۔

د جوړونې دندو ته بېل ډول پولې ته اړتیا ده

CI دنده د زېرمې په کنټرول کې کمانډونه چلوي، نو باور یې په دې پورې تړلی دی چې څوک کوډ پورته کولای شي۔ شل اجرا کوونکی هغه کمانډونه پر هوسټ د رنر د کاروونکي په توګه چلوي، چې تر ټولو پراخه شته پوله ده۔

کنټینر اجرا کوونکي تنګتر دي، او امتیازلرونکی کنټینر د هغو تنګو څخه نه دی۔ رنر په خپل مېلمه کې د خپل شبکوي حد سره وساتئ، او یوازې هغه آرټیفیکټ او ځای پرځای کولو لاسرسی ورکړئ چې دندو ته اړین دی۔ یو ځلې کارېدونکي کارګر پاتې حالت کموي؛ د رسېدو وړتیا یا د رازونو ښکارېدل نه کموي۔ دواړو ته لا هم روښانه حدود ته اړتیا ده۔

د خدمتونو مېلمه د معلوماتو خاوند دی، نو د هغه بیک اپ پلان باید کار وکړي۔ زېرمې، پورته شوي فایلونه او ډېټابیس په یوه مهالوېش کې وساتئ۔ د دندې حالت لوستلو پر ځای بیا رغونه وازموئ۔

د هغې ناکامۍ پلان جوړ کړئ چې درې واړه یې شریکوي

یو هوسټ یوه د ناکامۍ سیمه ده۔ بیا پیل تونل او هر خصوصي خدمت په یوه شیبه کې لرې کوي، او هماغه وخت دی چې دننه تللې لار تر ټولو ډېره ارزښت لري۔

کنسول لاسرسی وساتئ چې VPN مېلمه ته تړلی نه وي، که فزیکي کنسول وي، که له بانډ بهر مدیریت انټرفېس وي، که د برابرونکي کنسول وي۔ پر هماغه ډیسک خوندي شوې انځورنه خپلواکه کاپي نه ده، او نه هغه بیک اپ چې د هغه مېلمه دننه چلېږي چې ساتنه یې کوي۔ بیا یخ پیل د ترتیب په توګه وازموئ، نه د چک لیست په توګه: هوسټ، مجازي شبکې، د تونل لار، او یو نومول شوی اپلیکیشن د عادي حساب لاندې۔

virsh list --all
systemctl is-active libvirtd
curl -sS -m 5 -o /dev/null -w '%{http_code}\n' https://10.60.0.10/
ss -ltnp | grep -E ':51820|:443'

د پروسو د پیل ترتیب د لارو او DNS په اړه هېڅ نه ثابتوي، نو د واحدونو حالتونو پر ځای لار وازموئ۔ لار هغه څه دي چې لرې کاروونکي ته واقعاً اړین دي۔