එක් ක්ලවුඩ් සේවාවක් සඳහා ස්වදේශීය TLS, SSH යොමු කිරීම හෝ VPN

ප්‍රශ්නය බොහෝ විට ක්ලවුඩ් යන්ත්‍ර දෙකක් අතර යමක් සංකේතනය කළ යුතුද යන්න නොවේ; ප්‍රශ්නය වන්නේ ඔබ සංකේතනය කරන්නේ කුමන අතුරුමුහුණතද සහ කවුරුන් කාගේ අනන්‍යතාවය පරීක්ෂා කරන්නේද යන්නයි. මම මෙම සංවාද ජාල රූප සටහනින් නොව සේවාවෙන් ආරම්භ කරමි, මන්ද සේවාවට දැනටමත් අවශ්‍ය දේ දන්නා නිසා. සීමා තුනක් බොහෝ අවස්ථා ආවරණය කරයි: යෙදුමේම TLS, SSH හරහා යොමු කරන ලද එක් TCP වරායක්, සහ සෑම සහභාගිවන්නෙකුටම ලිපිනයක් දෙන මාර්ගගත ආවරණයක්. ඒවා ශක්තිය අනුව නොව, ගැටලුවේ කොපමණ ප්‍රමාණයක් ආවරණය කරයිද යන්න අනුව වර්ග කෙරේ.

ජාලයෙන් නොව සේවාවෙන් ආරම්භ කරන්න

ක්‍රියාවලියෙන් පිටතට යන්න. එය කුමන ප්‍රොටොකෝලයක් කථා කරයිද, සේවාදායකයා කුමන නම සත්‍යාපනය කරයිද, සහ කාටද කෙසේ හෝ සම්බන්ධතාවයක් විවෘත කිරීමට අවසර ඇත්තේ? එම පිළිතුරු තුන ඕනෑම සංසන්දන වගුවකට වඩා ඉක්මනින් විකල්ප ඉවත් කරයි, සහ සේවාවේම වින්‍යාසය සාමාන්‍යයෙන් මිනිත්තු කිහිපයකින් ඒවාට පිළිතුරු දෙයි.

8443 වරායේ දැනටමත් HTTPS ලබා දෙන කුඩා අභ්‍යන්තර API එකක් ගන්න, api.internal.example සඳහා සහතිකයක් සමඟ. සත්කාරකයේ ss -ltnp එය කුමකට බැඳී ඇත්ද යන්න පෙන්වයි, සහ openssl s_client -connect 127.0.0.1:8443 -verify_hostname api.internal.example සහතිකය සේවාදායකයා සැබවින්ම භාවිතා කරන නමට වලංගුද යන්න පෙන්වයි. දෙකම නිරෝගී නම්, සේවාවට තමන්ගේම ප්‍රවාහය ආරක්ෂා කළ හැකි අතර ඉතිරිව ඇත්තේ ළඟා වීමේ හැකියාව පමණි. එය ජාලයක් තැනීමට වඩා බෙහෙවින් කුඩා ගැටලුවකි.

පියවර 1: සේවාව තමන්ම ආරක්ෂා කරයිද?

මෙය ගැළපෙන විට තෝරා ගන්නා විකල්පයයි, සහ කණ්ඩායම් උපකල්පනය කරනවාට වඩා බොහෝ විට ගැළපේ. සේවාවේ සංකේතනය සේවාදායකයා සහ සේවාදායකය අතර මුළු මාර්ගයම, ඒ අතර ඇති සෑම පිම්මක්ම ඇතුළුව ආවරණය කරයි, එය මැද වටා ඇති කිසිදු උමං මාර්ගයකින් වැඩිදියුණු නොවේ. බලාපොරොත්තු වන නම සහ විශ්වාසය පැහැදිලිව සකසන්න, සේවාදායකයාගේ පෙරනිමි ගබඩාවේ අහම්බෙන් ඇති දේ මත රැඳී නොසිට.

සංකේතනය සහ ළඟා වීම වෙන වෙනම පාලන ලෙස පවතී, සහ ඒවා ඒකාබද්ධ කිරීම තමයි මෙම විකල්පය වැරදි වන තැන. අසීමිත පොදු ශ්‍රවණයකරුවෙකු මත TLS සේවාවක් තවමත් කාගෙන් වුවද සම්බන්ධතා උත්සාහ පිළිගනී, එබැවින් ශ්‍රවණයකරුවා සහ ජාල නීති පේලෝඩය ආරක්ෂිත බවට ස්වාධීනව නිර්ණය කළ යුතුය. ඉන්පසු යැපීම් පරීක්ෂා කරන්න, මන්ද TLS මත API එකක් සොයාගැනීමේ අන්ත ලක්ෂ්‍යය, පරිපාලක වරාය හෝ අසල ඇති තොග මාරු කිරීමේ නාලිකාව ගැන කිසිවක් නොකියයි. ඒවායින් එකකට එකක් තමන්ගේම පිළිතුරු අවශ්‍ය වන අතර, එක් අනාරක්ෂිත සහෝදරයෙක් මුළු සීමාවම ප්‍රබන්ධයක් කිරීමට ප්‍රමාණවත්ය.

පියවර 2: එක් TCP වරායක්ම මුළු අවශ්‍යතාවයද?

අවශ්‍යතාවය සැබවින්ම එක් TCP වරායක් නම්, යොමු කිරීම ක්‍රියා කරන කුඩාම දෙයයි. SSH දේශීය යොමු කිරීම එම වරාය දැනටමත් පවතින සත්‍යාපිත සම්බන්ධතාවයක් හරහා ගෙන යයි.

හැඩය ssh -N -L 8443:127.0.0.1:8443 [email protected] වන අතර, වැදගත් විස්තරය වන්නේ ඉලක්ක ලිපිනයයි: 127.0.0.1 දුර පැත්තේ විසඳනු ලැබේ, එබැවින් සේවාවට සම්බන්ධතාවය ඔබේ ලැප්ටොප් එකෙන් නොව බැස්ටියන් එකෙන් විවෘත වේ. දේශීය ශ්‍රවණයකරුවා -L 127.0.0.1:8443:... ලෙස පටුව බැඳ තබන්න, එවිට ඔබ අහම්බෙන් සේවාව ඔබේම දේශීය ජාලයට ප්‍රකාශයට පත් නොකරනු ඇත. සේවාදායක පැත්තේ, සේවාදායකයා හොඳින් හැසිරෙනු ඇතැයි විශ්වාස කිරීම වෙනුවට ගිණුමට යොමු කළ හැකි දේ සීමා කරන්න. PermitOpen, AllowTcpForwarding local සහ GatewayPorts no පෙරනිමි යනු සාමාන්‍ය රිලේ එකක් නිශ්චිත නාලිකාවක් බවට පත් කරන තුන් සැකසුම් වේ.

ගිවිසුම දෙපැත්තටම පටුය. SSH තමන්ගේම නාලිකාව ආරක්ෂා කරයි, සහ බැස්ටියන් එකේ සිට වෙනත් යෙදුමකට යන අමතර පිම්මකට තමන්ගේම ආරක්ෂාව අවශ්‍යයි. බැස්ටියන් එකේ loopback එකේ පමණක් සවන් දෙන සේවාවකට වෙනත් ජාලයක් හරහා ළඟා වන එකට වඩා සම්පූර්ණයෙන්ම වෙනස් නිරාවරණයක් ඇත, සහ යොමු කිරීම එය වෙනස් නොකරයි. උමං මාර්ගය ඒවාට ආදේශකයක් ලෙස සලකනවා වෙනුවට යෙදුමේ සත්‍යාපනය සහ TLS පරීක්ෂණ තබා ගන්න.

එක් හිමිකරුවෙකු සමඟ එක් සම්බන්ධතාවයකට මෙය හොඳින් ක්‍රියා කරයි. විශාල පරිමාණයෙන් එය පද්ධතියක් බවට පත් වේ: දේශීය වරාය ගැටුම්, අධීක්ෂණය, යතුරු භ්‍රමණය සහ නැවත ඇරඹීමෙන් පසු යොමු කිරීම නැවත ආරම්භ කරන්නේ කවුද යන ප්‍රශ්නය.

පියවර 3: මාර්ගගත කිරීමම සැබෑ අවශ්‍යතාවයද?

එම ලැයිස්තුව කුඩාම විකල්පයේ අවංක පිරිවැයයි, එබැවින්ම කණ්ඩායම් අවසානයේ අමතක වූ පසුබිම් විධාන කිහිපයක් කළමනාකරණය කරන දෙයකින් ප්‍රතිස්ථාපනය කරයි. ප්‍රතිස්ථාපනය ස්වයංක්‍රීයව VPN එකක් නොවේ. අවශ්‍යතාවය තවමත් එක් TCP වරායක් නම්, ලේඛනගත හිමිකරුවෙකු සමඟ අධීක්ෂිත යොමු කිරීමක් ආවරණයකට වඩා ලාභදායී ලෙස ක්‍රියාත්මක වන අතර ඔබට පෙනෙන ආකාරවලින් අසාර්ථක වේ. අලංකාරය මැනීමට පෙර මෙහෙයුම් හිමිකාරිත්වය මන්න.

මාර්ගගත කිරීමම අවශ්‍යතාවය වන විට මාර්ගගත කිරීම නිවැරදි පිළිතුර බවට පත් වේ. සාමාන්‍ය IP සම්බන්ධතාවය අවශ්‍ය යෙදුම් කිහිපයක්, TCP යොමු කිරීමකට ගෙන යා නොහැකි ප්‍රොටොකෝල, හෝ සත්කාරක අතර ගමන් කරන සේවා — සියල්ලම එකම දිශාවට යොමු කරයි.

ආවරණයක් සහභාගිවන්නන්ට ලිපිනයක් සහ මාර්ගයක් ලබා දෙයි, ඉන්පසු සැබෑ වැඩ පටන් ගනී: අතිච්ඡාදනය නොවන පරාස, මාර්ග හිමිකාරිත්වය, DNS, ලියාපදිංචිය, අවලංගු කිරීම සහ සහකරු අතුරුදහන් වූ විට කුමක් සිදු වේද යන්න. ඒ කිසිවක් ලිපිනය සමඟ එන්නේ නැත. ආවරණයට ඇතුළත් කරන ලද සහකරුවෙකුද ගමනාන්තයේ සෑම ක්‍රියාවකටම ස්වයංක්‍රීයව බලයලත් නොවේ, එබැවින් සේවා මට්ටමේ සත්‍යාපනය පවතී.

ඉන්පසු ඔබ සතුව ඇති දේ

ඔබ තබා යන වාර්තාවට කරුණු දෙකක් අයත් වේ. පළමුවැන්න සේවාදායකයා සත්‍යාපනය කළ යුතු අනන්‍යතාවයයි, මන්ද යමක් ක්‍රියාත්මක කිරීමට නම් පරීක්ෂාව ලිහිල් කළ විට මෙම සීමා සෑම එකක්ම නිහඬව පිරිහේ. දෙවැන්න ඉවත් කිරීමේ පියවරයි: ප්‍රවේශය අවසන් වූ විට කුමන යතුර, කුමන නියමය හෝ කුමන මාර්ගය අතුරුදහන් වේද, සහ එය කවුරුන් සිදු කරයිද යන්න.

මෙම ගමන ආරම්භ වූ තැනම, සේවාවේදී අවසන් වේ. සැබෑ ගමනාගමනය ආවරණය කරන සහ ඔබ සත්‍යාපනය කිරීමට අදහස් කළ සහකරුවන් සත්‍යාපනය කරන සීමාව තෝරන්න, ඉන්පසු ප්‍රවේශය යාවත්කාලීන කරන, අධීක්ෂණය කරන සහ ඉවත් කරන ආකාරය ලියන්න. OpenSSH යොමුව පටු ගිවිසුමක් පොරොන්දු වීමට පෙර යොමු කිරීමේ විකල්ප තහවුරු කරන ස්ථානයයි. ඉවත් කිරීමේ පියවර එක් වාක්‍යයකින් විස්තර කළ නොහැකි නම්, සීමාව ගැටලුවට වඩා විශාලය.