ஒரு ஆய்வக சேவையகம், மூன்று நம்பிக்கை பாத்திரங்கள், ஒரு தோல்விக் களம்

கட்டுமான இயக்கி VPN விருந்தாளி பயன்படுத்தும் அதே புரவலன் சாக்கெட்டைக் கேட்கும் வரை எல்லாம் வேலை செய்கிறது, பிறகு ஒரு பணி நுழைவாயிலின் விசைகளை ஏன் படிக்க முடியும் என்று யாரும் விளக்க முடியாது. பொருந்தியதால் எல்லாம் ஒரே இயந்திரத்தில் நிறுவப்பட்டது, வேலை செய்ய வைக்க வேகமான வழி அதுவே என்பதால் ஒவ்வொரு விருந்தாளிக்கும் பரந்த அணுகல் வழங்கப்பட்டது. விளைவு நம்பிக்கை எல்லையே மின்சார வடமாக இருக்கும் ஒரு புரவலன். பாத்திரங்களைப் பிரிப்பது கேட்பதை விட குறைவான வேலை, அது அவற்றுக்குப் பெயரிடுவதில் தொடங்குகிறது.

தற்போது அனைத்தையும் பங்கிடும் மூன்று பாத்திரங்கள்

VPN நுழைவு, தனிப்பட்ட சேவைகளின் தொகுப்பு மற்றும் கட்டுமான இயக்கி வெவ்வேறு விஷயங்களை விரும்புகின்றன. முதலாவதற்குப் பொது துறைமுகமும் தனிப்பட்ட பக்கத்தில் குறுகிய வலையமைப்பும் தேவை. இரண்டாவதற்கு நிரந்தரச் சேமிப்பும் பயன்பாட்டின் ரகசியங்களும் தேவை. மூன்றாவது வேறொருவர் எழுதிய குறியீட்டை இயக்குகிறது.

மூன்றுக்கும் ஒரே அணுகலை வழங்குவதே அறிகுறியைக் குழப்பமாக்குகிறது, ஏனெனில் பிறகு அவற்றில் எதுவும் மற்றவற்றைப் பாதிக்கலாம். ஹைப்பர்வைசர் சாக்கெட்டை அடையக்கூடிய கட்டுமான பணி VPN-ஐ நிறுத்தக்கூடிய பணி. நிர்வாக வலையமைப்புக்கு வழி உள்ள சேவை விருந்தாளி சுவிட்ச் அமைப்பை மாற்றலாம். பிரச்சனை அனுமதிகள்தான், செயல்முறைப் பட்டியல் அது தோன்றும் இடம் மட்டுமே. முதலில் பாத்திரங்களுக்குப் பெயரிடுவது ஒவ்வொரு அனுமதிக்கும் வாழ இடம் தருகிறது.

கீழே உள்ள வரைபடம் அந்தப் பிரிப்புக்கான தொடக்கப் புள்ளி, அதிக கிடைப்புத்திறனுக்கான உறுதிமொழி அல்ல. அதைச் சரிபார்க்க வேண்டிய கருதுகோளாகக் கொள்ளுங்கள், முடிந்த வடிவமைப்பாக அல்ல.

மூன்று பாத்திரங்களைப் பிரிக்கவும், மூன்று செயல்முறைகளை அல்ல

ஒரு புரவலனில் மூன்று விருந்தாளிகள் மூன்று அனுமதித் தொகுப்புகளையும் மூன்று வலையமைப்பு நிலைகளையும் தருகின்றன. அவை மூன்று தோல்விக் களங்களைத் தருவதில்லை, வடிவமைப்பு அதைச் சத்தமாகச் சொல்ல வேண்டும்.

ஒரு விருந்தாளியின் சமரசம் மற்றவர்களுக்குத் தானாக அணுகலைத் தராத போது மட்டுமே பிரிப்பு உதவுகிறது, அது பெயரிடும் மரபு அல்ல, ஹைப்பர்வைசர் அமைப்பு. ஒரு VM-ஐ நுழைவாயில் என அழைப்பது மற்றொரு விருந்தாளி புரவலனை அடைவதைத் தடுக்காது. புரவலன் பெயருக்குப் பதிலாக மெய்நிகர் சுவிட்ச் அமைப்பைப் படியுங்கள், பிறகு ஒவ்வொரு விருந்தாளியும் நீங்கள் நினைக்கும் இடத்தில் இருப்பதை உறுதிசெய்யுங்கள்.

host
├─ vpn-gw      10.60.10.2/24   public 51820/udp only
├─ services    10.60.0.10/24   no route to the management network
└─ ci-runner   10.60.20.2/24   outbound only, no host socket

இடவியலை எழுதி, பிறகு அதைச் சொந்தமாக்கும் கருவிகளால் சரிபார்க்கவும். தவறான பாலத்தில் தோன்றும் விருந்தாளி ஒரு கண்டுபிடிப்பு, ஒரு விவரம் அல்ல. எந்தச் சேவை அமைப்பையும் மாற்றுவதற்கு முன் வலையமைப்பைச் சரிசெய்யவும்.

VPN விருந்தாளி தனக்குரிய கதவுகளை மட்டும் திறக்கட்டும்

சுரங்கத் துறைமுகத்தை ரவுட்டரில் வெளியிடுங்கள், வேறு எதுவும் இல்லை. விருந்தாளிகளின் நிர்வாகத் துறைமுகங்கள் நிர்வாகப் பாதையில் இருக்க வேண்டும், இணையத்தில் அல்ல, ஹைப்பர்வைசரின் சொந்த இடைமுகமும் அங்கேயே இருக்க வேண்டும்.

தனிப்பட்ட பக்கத்தின் வலையமைப்பு தொலை பயனர்களுக்குத் தேவையான சேவைகளை அடைந்து அங்கேயே நிற்க வேண்டும். பயன்பாட்டு அங்கீகாரம் இயக்கத்திலேயே இருக்கும், ஏனெனில் சுரங்கம் போக்குவரத்து, உள்நுழைவு அல்ல. VPN விருந்தாளியின் வழித்தட அட்டவணையை ஒரு வாக்கியத்தில் விவரிக்கக்கூடிய அளவு சிறியதாக வைத்திருங்கள். அவ்வளவு எளிமையாக விவரிக்க முடியாவிட்டால், எல்லை ஏற்கனவே மங்கிவிட்டது.

virsh net-list --all
virsh net-dumpxml lab-private
sudo nft list ruleset | grep -n -E '51820|10.60'

புரவலனில் கேட்கும், நிர்வாகத்திற்குத் தேவைப்படாத எதுவும் கேட்கவே கூடாது. இதில் ஹைப்பர்வைசர் API அடங்கும், அதைப் பொது இடைமுகத்தில் வெளிப்படையாக விட்டுவிடுவது எளிது.

கட்டுமான பணிகளுக்கு வேறு வகையான எல்லை தேவை

CI பணி களஞ்சியத்தால் கட்டுப்படுத்தப்படும் கட்டளைகளை இயக்குகிறது, எனவே அதன் நம்பிக்கை யார் குறியீட்டைப் புட் செய்ய முடியும் என்பதைப் பொறுத்தது. ஷெல் இயக்கி அந்தக் கட்டளைகளைப் புரவலனில் இயக்கியின் பயனராக இயக்குகிறது, அதுவே கிடைக்கும் பரந்த எல்லை.

கொள்கலன் இயக்கிகள் குறுகியவை, சிறப்புரிமை பெற்ற கொள்கலன் அந்தக் குறுகியவற்றில் ஒன்று அல்ல. இயக்கியை அதன் சொந்த வலையமைப்பு வரம்புடன் அதன் சொந்த விருந்தாளியில் வைத்திருங்கள், பணிகளுக்குத் தேவையான கலைப்பொருள் மற்றும் வரிசைப்படுத்தல் அணுகலை மட்டும் தரவும். ஒரு முறை பயன்படுத்தும் பணியாளர்கள் தக்கவைக்கப்பட்ட நிலையைக் குறைக்கின்றனர்; அவர்கள் அடையக்கூடிய தன்மையையோ ரகசிய வெளிப்பாட்டையோ குறைப்பதில்லை. இரண்டுக்கும் இன்னும் வெளிப்படையான வரம்புகள் தேவை.

சேவை விருந்தாளி தரவைச் சொந்தமாக்குகிறது, எனவே அதன் காப்புப்பிரதித் திட்டம்தான் வேலை செய்ய வேண்டும். களஞ்சியங்கள், பதிவேற்றங்கள் மற்றும் தரவுத்தளத்தை ஒரே அட்டவணையில் வைத்திருங்கள். பணி நிலையைப் படிப்பதற்குப் பதிலாக மீட்டெடுப்பைச் சோதிக்கவும்.

மூன்றும் பங்கிடும் தோல்விக்குத் திட்டமிடுங்கள்

ஒரு புரவலன் ஒரு தோல்விக் களம். மறுதொடக்கம் சுரங்கத்தையும் ஒவ்வொரு தனிப்பட்ட சேவையையும் ஒரே நேரத்தில் அகற்றும், உள்ளே செல்லும் வழி அதிகம் தேவைப்படுவது அப்போதுதான்.

VPN விருந்தாளியைச் சாராத கன்சோல் அணுகலை வைத்திருங்கள், அது இயற்பியல் கன்சோலாகவோ, பேண்டுக்கு வெளியேயான நிர்வாக இடைமுகமாகவோ அல்லது வழங்குநர் கன்சோலாகவோ இருக்கலாம். அதே வட்டில் சேமித்த ஸ்னாப்ஷாட் சுயாதீன நகல் அல்ல, அது பாதுகாக்கும் விருந்தாளிக்குள் இயங்கும் காப்புப்பிரதியும் அல்ல. பிறகு குளிர் தொடக்கத்தை ஒரு பட்டியலாக அல்ல, ஒரு வரிசையாகச் சோதிக்கவும்: புரவலன், மெய்நிகர் வலையமைப்புகள், சுரங்கப் பாதை மற்றும் சாதாரண கணக்கின் கீழ் ஒரு பெயரிடப்பட்ட பயன்பாடு.

virsh list --all
systemctl is-active libvirtd
curl -sS -m 5 -o /dev/null -w '%{http_code}\n' https://10.60.0.10/
ss -ltnp | grep -E ':51820|:443'

செயல்முறை தொடக்கங்களின் வரிசை வழித்தடங்கள் மற்றும் DNS பற்றி எதையும் நிரூபிக்காது, எனவே அலகு நிலைகளுக்குப் பதிலாகப் பாதையைச் சோதிக்கவும். தொலைப் பயனருக்கு உண்மையில் தேவைப்படுவது பாதையே.