Құрылғылар, статикалық клиенттер, басқарылатын қосылым және VPN-мекенжайлар

Qarvix-тағы құрылғы - басқарылатын желінің қатысушысы. Бұл агенті бар роутер, hub, статикалық WireGuard-клиенті немесе қорғалған қолжетімділікті қажет ететін басқа түйін болуы мүмкін.

Бөлім қатысушы түрлерінің немен ерекшеленетінін, бір реттік қосылым токендерінің қалай пайдаланылатынын, VPN IP нені білдіретінін және басқарылатын құрылғы мен статикалық клиенттің online-статусы неге әртүрлі анықталатынын түсіндіреді.

Қысқаша

Басқарылатын құрылғы Qarvix агентімен жұмыс істейді және WSS-басқару арнасын ұстайды.
Статикалық клиент агентсіз WireGuard-профилін пайдаланады.
VPN IP таңдалған желінің ауқымынан беріледі.
Қосылым токені құрылғыны алғаш тіркеу үшін қажет және қайта пайдаланылмауы тиіс.
Басқарылатын құрылғының online-статусы агент пен WireGuard күйіне байланысты.
Статикалық клиенттің online-статусы WireGuard-handshake-тің жаңалығы бойынша анықталады.
Модель, прошивка және агент нұсқасы сүйемелдеу мен диагностикаға көмектеседі.

Қатысушы түрлері

Түрі	Қайда пайдаланылады	Қалай қосылады	Не маңызды
Басқарылатын құрылғы	роутер, gateway, NAT артындағы нысан	Qarvix агенті + токен	басқаруға WSS, трафикке WireGuard
Статикалық клиент	ноутбук, телефон, сервер	WireGuard-профилі	агент пен WSS жоқ, статус handshake бойынша
Hub	желінің орталық WireGuard-түйіні	жүйе арқылы басқарылады	peer-қосылымдар мен маршруттарды қабылдайды
Роутер артындағы құрылғы	камера, PLC, датчик, API	LAN-маршрут арқылы	міндетті түрде WireGuard қатысушысы емес

Нысандағы барлық құрылғы Qarvix-тың жеке қатысушысы болуы міндетті емес. Көбіне роутерді қосып, ол арқылы қажетті LAN-ішкі желіні немесе нақты API-ді ашу жеткілікті.

Басқарылатын құрылғы

Басқарылатын құрылғы - Qarvix агенті орнатылған роутер немесе edge-түйін. Агентінің дайын құрастырмасы бар модельдер тізімі - Қолдау көрсетілетін жабдық бөлімінде.

Агент бірнеше тапсырманы орындайды:

control plane-ге WSS арқылы қосылады;
желі конфигурациясын алады;
WireGuard-ты баптайды;
heartbeat пен диагностикалық деректерді береді;
құрылғы gateway ретінде пайдаланылса, маршруттарды қолданады;
қолжетімді болса, модель, прошивка, агент нұсқасы және басқа мәліметтерді хабарлайды.

Бұл сценарий ақ IP жоқ, оператор NAT-ы бар, кәдімгі SIM-карта пайдаланылатын немесе кіру порттарын ашуға болмайтын нысандарға қолайлы.

Статикалық клиент

Статикалық клиент - Qarvix агентісіз желі қатысушысы. Әдетте бұл кәдімгі WireGuard-клиенті пайдаланылатын инженердің ноутбугі, телефоны, жұмыс станциясы немесе сервер.

Ерекшеліктері:

WSS-басқару арнасы жоқ;
агент heartbeat-і жоқ;
жеке кілт клиентте қалуы тиіс;
статус WireGuard-handshake бойынша анықталады;
конфигурацияны қауіпсіз сақтау керек;
кілт бүлінген жағдайда құрылғы бетіндегі "Rotate key and generate config" пайдаланыңыз - VPN IP, тарих пен топтарға тиесілілік сақталады, тек кілт жұбы ауысады.

Статикалық клиент инженерлердің жеке қолжетімділігі, мердігерлердің уақытша қолжетімділігі және сервистік серверлерді қосу үшін ыңғайлы.

Hub

Hub - Qarvix желісінің орталық WireGuard-түйіні. Техникалық схемада бұл нысандағы жеке қорап емес, бақылау контуры жағындағы интерфейс пен логика.

Hub мыналарға жауап береді:

WireGuard-қосылымдарды қабылдау;
peer-күйін сақтау;
handshake статистикасы;
қатысушылар арасында маршруттау;
AllowedIPs, ACL мен маршруттарды қолдану;
статикалық клиенттердің жаңалығын анықтау.

Қалыпты пайдалану кезінде пайдаланушыға hub-ты қолмен баптаудың қажеті жоқ. Ол статикалық клиенттің агентсіз online болуы мүмкін екенін және оның күйі басқарылатын роутерге қарағанда неге басқаша бағаланатынын түсіну үшін маңызды.

VPN-мекенжай

VPN IP - Qarvix желісі ішіндегі қатысушының мекенжайы. Ол таңдалған желінің CIDR-ауқымынан беріледі.

Мысал:

Желі: home-net
CIDR: 10.100.0.0/24
Құрылғының VPN IP: 10.100.0.4
Клиенттің VPN IP: 10.100.0.8

VPN IP мыналар үшін қажет:

қатысушының өзіне жүгіну;
peer-лер арасында маршруттау;
ACL ережелері;
қолжетімділік диагностикасы;
есептер мен журналдар;
gateway-құрылғылар артындағы LAN-ішкі желілерімен байланыс.

Production-желіні жасар алдында VPN-ауқымы нысандардың жергілікті желілерімен және корпоративтік VPN-мен қиылыспайтынын тексеріңіз.

Бір реттік қосылым токендері

Қосылым токені басқарылатын құрылғыны алғаш тіркеу үшін пайдаланылады.

Не маңызды:

токен бір реттік болуы тиіс;
токеннің қолданылу мерзімі шектеулі болуы тиіс;
токен құрылғыны таңдалған ұйым мен желіге байлайды;
токен ортақ чаттарда жарияланбауы тиіс;
пайдаланғаннан кейін токен қайта қолдану үшін бүлінген болып саналады;
мерзімі өтсе немесе қосылым үзілсе, жаңа токен жасау керек.

Токен тек қосылу кезеңінде ғана қажет. Тіркелгеннен кейін құрылғы өз есептік деректері мен кілттері бойынша жұмыс істеуі тиіс.

Басқарылатын қосылым

Басқарылатын қосылым ыңғайлы, өйткені нысандағы инженер WireGuard-ты қолмен баптамайды.

Типтік процесс:

Әкімші Qarvix-та желіні таңдайды.
Қосылым токенін жасайды.
Токенді инженерге береді немесе агентті орнату кезінде енгізеді.
Агент control plane-ге WSS арқылы қосылады.
Qarvix WireGuard конфигурациясын береді.
Құрылғы VPN IP алады.
Әкімші статус, журналдар мен қолжетімділікті тексереді.

Мобильді оператор артындағы нысандар үшін бұл әсіресе маңызды: ақ IP қажет емес және оператордан порт бағыттауды сұраудың қажеті жоқ.

Online және Offline

Статустарды қатысушы түрін ескере отырып оқу керек.

Басқарылатын құрылғы

Басқарылатын құрылғы үшін маңызды:

агенттің WSS-сессиясы;
heartbeat;
WireGuard күйі;
соңғы байланыс уақыты;
конфигурацияны қолдану нәтижесі.

WSS жоғалса, құрылғы командалар мен жаңартуларды алуды тоқтатуы мүмкін. WireGuard көтерілмесе, агент control plane-мен байланыса алса да, пайдаланушы трафигі өтпейді.

Статикалық клиент

Статикалық клиентте агент те, heartbeat те жоқ. Сондықтан оның online-статусы hub-тағы WireGuard-handshake-тің жаңалығы бойынша анықталады.

Бұл мынаны білдіреді:

клиент ұзақ уақыт трафик бермесе, offline болып көрінуі мүмкін;
бұл әрқашан қате бола бермейді;
тексеру үшін клиенттен трафик тудыруға болады;
handshake жаңа болса, WireGuard-байланыс жақында белсенді болған.

Құрылғы деректері

Басқарылатын құрылғылар үшін мыналарды сақтап, көрсеткен пайдалы:

құрылғы аты;
желі;
VPN IP;
модель;
өндіруші;
прошивка нұсқасы;
агент нұсқасы;
соңғы қосылым уақыты;
құрылғы рөлі: кәдімгі peer, gateway, exit node;
агенттің қолжетімді capabilities-і.

Бұл деректер қай құрылғыларға жаңарту қажет екенін, қандай модельдер пайдаланылып жатқанын және қолдау қызметіне жүгінгенде мәселені қайдан іздеу керегін түсінуге көмектеседі.

Роутер артындағы құрылғылар

Камералар, PLC, датчиктер, кассалар, есептеу аспаптары мен жергілікті API-лер көбіне WireGuard-ты тікелей орнатпайды. Олар роутер артындағы LAN-да қалады, ал Qarvix оларға маршрут арқылы қолжетімділік ашады.

Мысал:

Нысан роутері: 10.100.0.4
Роутер артындағы LAN: 192.168.10.0/24
Камера: 192.168.10.20
PLC: 192.168.10.30
Есептеу аспабының API-і: 192.168.10.50:8080

Бұл жағдайда Qarvix қатысушысы - роутер, ал жергілікті құрылғылар subnet route пен қолжетімділік ережелері арқылы қолжетімді.

Жеке статикалық клиентті қашан жасау керек

Статикалық клиентті мына жағдайларда жасаңыз:

пайдаланушыға жеке VPN-қолжетімділігі қажет;
сервер туннель арқылы құрылғыларға жүгінуі тиіс;
телефонды немесе ноутбукті агентсіз қосу керек;
мердігерге уақытша қолжетімділік қажет;
интеграция сыртқы желіден жұмыс істейді және басқарылатын роутер артында тұрмайды.

Бір статикалық профильді бірнеше адамға пайдаланбаңыз. Профиль дұрыс емес жерге түссе, кімнің қосылғанын анықтау қиын болады.

Басқарылатын роутер қашан қажет

Басқарылатын роутер мына жағдайларда қажет:

нысан NAT немесе кәдімгі SIM-карта артында;
роутер артындағы LAN-ішкі желіні ашу керек;
маршруттауды орталықтан басқару керек;
құрылғы күйі мен агент нұсқасын алу керек;
нысанда камералар, PLC, датчиктер немесе API қосу керек;
әрбір құрылғыда WireGuard-ты қолмен баптамай конфигурацияны қолдану маңызды.

Бұл өнеркәсіп, бөлшек сауда, қашықтағы нысандар мен сервистік қызмет көрсету үшін негізгі нұсқа.

Қосқаннан кейінгі тексеріс

Құрылғы немесе клиентті қосқаннан кейін тексеріңіз:

дұрыс ұйым;
дұрыс желі;
дұрыс VPN IP;
online/offline статусы;
Last seen жаңалығы;
аудит журналында оқиғаның бары;
құрылғы журналындағы қосылым оқиғалары;
VPN-мекенжайлар мен ішкі желілердің қайшылығының жоқтығы;
қажет болса, маршруттар мен ACL қолданылғаны.

Жиі кездесетін мәселелер

Құрылғы тізімде пайда болмады

Токенді, оның қолданылу мерзімін, құрылғының control plane-ге қолжетімділігін, DNS, TLS және нысандағы желілік шектеулерді тексеріңіз.

Құрылғы пайда болды, бірақ offline

Агенттің WSS-қосылымын, құрылғы логтарын, серверге қолжетімділікті, құрылғыдағы уақытты және оператор немесе firewall тарапынан мүмкін бұғаттауларды тексеріңіз.

Құрылғы online, бірақ LAN-ға қолжетімділік жоқ

Subnet route, жергілікті ішкі желіні, роутердегі firewall-ды, ACL, peer mesh және мекенжай ауқымдарының қиылысуын тексеріңіз.

Статикалық клиент offline

Клиент ұзақ уақыт трафик бермесе, бұл қалыпты күй болуы мүмкін. Клиенттен трафик тудырып, handshake-тің жаңалығын тексеріңіз.

VPN IP жергілікті желімен қайшы келеді

Qarvix желісі үшін басқа CIDR таңдаңыз немесе нысанның жергілікті адрестелуін өзгертіңіз. Ішкі желілердің қиылысуын production іске қосылғанға дейін түзеткен дұрыс.

Бақылау тізімі

Құрылғы немесе клиент дұрыс ұйымда.
Құрылғы дұрыс желіге қосылған.
VPN IP күтілетін ауқымнан берілген.
Басқарылатын құрылғы WSS пен WireGuard-ты ұстайды.
Статикалық клиентте жеке профиль бар.
Қосылым токендері қайта пайдаланылмайды.
Модель, прошивка және агент нұсқасы, қолжетімді болса, көрсетіледі.
LAN-қолжетімділігі үшін subnet route бапталған.
ACL артық бағыттарды ашпайды.
Журналдарда қосылым мен конфигурация өзгерістерінің оқиғалары көрінеді.

Байланысты бөлімдер

Құрылғыларды жылдам қосу - құрылғы немесе клиентті қосудың практикалық сценарийі.
Qarvix-тағы алғашқы қадамдар - алғашқы іске қосудың жалпы маршруты.
Желілер, маршруттар және ACL - байланыс пен маршруттау ережелері.
Туннель арқылы құрылғылар API-і - роутер артындағы жергілікті сервистерге қолжетімділік.
Диагностика және типтік мәселелер - қосылым қателерінде нені тексеру керек.