Qarvix-тағы алғашқы қадамдар

Бұл бет Qarvix-тағы алғашқы жұмыс маршрутынан өтуге көмектеседі: ұйымды таңдау, желі құру, құрылғы немесе статикалық клиент қосу, байланысты тексеру және командаға қолжетімділік беру.

Бір ғана құрылғыны нұсқаулық бойынша қосу керек болса, Құрылғыларды жылдам қосу бөлімін пайдаланыңыз. Мұнда кеңірек контекст сипатталған: алғашқы басқарылатын контурды кейін сүйемелдеуге ыңғайлы болатындай етіп қалай құру керек.

Не шығуы керек

Қадамдарды орындағаннан кейін сізде мыналар болады:

• құрылғылар тиесілі таңдалған ұйым;
• Qarvix-тың алғашқы WireGuard-желісі;
• желінің кемінде бір қатысушысы: басқарылатын роутер, hub немесе статикалық клиент;
• әрбір қатысушыда түсінікті VPN-мекенжай;
• online-статус пен журналдардың базалық тексерісі;
• пайдаланушыға немесе сервистік командаға берілген қолжетімділік;
• байланыс мәселелері кезінде қайда қарау керегін түсіну.

Негізгі модель

Qarvix-та жеке VPN-файлдармен емес, басқарылатын контурмен ойлаған ыңғайлы.

Негізгі идея: алдымен ұйымдық және желілік құрылым беріледі, содан кейін оған құрылғылар мен пайдаланушылар қосылады. Осылай қолжетімділікті, журналдарды, есептер мен сүйемелдеуді басқару оңайырақ.

1-қадам. Ұйымды таңдаңыз

Панельге кіргеннен кейін қай ұйымда жұмыс істеп жатқаныңызды тексеріңіз. Бұл маңызды: желілер, құрылғылар, пайдаланушылар, журналдар мен есептер таңдалған аймаққа байланысты.

Мыналарды бөлу қажет болса, жеке ұйымдарды пайдаланыңыз:

• әртүрлі заңды клиенттерді;
• тәуелсіз пайдалану командаларын;
• қауіпсіздік ережелері әртүрлі алаңдарды;
• пилоттық контур мен production-контурды;
• бойынша жеке есептер жасалуы тиіс бағыттарды немесе алаңдарды.

Жүйемен жаңа таныс болсаңыз, бір ұйым мен бір желіден бастаңыз. Құрылымды алдын ала күрделендірудің қажеті жоқ.

2-қадам. Алғашқы желіні құрыңыз

Qarvix желісі - басқарылатын WireGuard-контуры. Желі ішінде қатысушылар болады: роутерлер, hub, статикалық клиенттер және басқа түйіндер.

Желі құру кезінде түсінікті ат пен VPN-ауқымын беріңіз.

Жақсы аттар:

• home-net;
• office-demo;
• retail-kokshetau;
• cameras-warehouse;
• meters-prod.

Алғашқы тест үшін мына түрдегі ауқымды пайдалануға болады:

10.100.0.0/24

Production-орналастырудан бұрын VPN-ауқымы нысандардағы жергілікті ішкі желілермен қиылыспайтынын тексеріңіз. Ішкі желілердің қиылысуы - құрылғы online болса да, қажетті сервистің қолжетімсіз болуының жиі кездесетін себептерінің бірі.

3-қадам. Желінің алғашқы қатысушысын қосыңыз

Екі негізгі нұсқа бар.

Басқарылатын құрылғы

Бұл нұсқаны Qarvix агенті орнатылатын роутер немесе gateway үшін таңдаңыз.

Мұндай қатысушы екі байланыс ұстайды:

• командаларға, конфигурацияға, heartbeat пен күйді жаңартуға арналған WSS-басқару арнасы;
• пайдаланушы трафигіне арналған WireGuard-туннелі.

Бұл NAT артындағы, мобильді оператор, кәдімгі SIM-карта немесе ақ IP-сіз тұйық желі артындағы нысандар үшін негізгі сценарий.

Статикалық клиент

Бұл нұсқаны агентсіз әдеттегі WireGuard-профилі қажет ноутбук, телефон, есептеу сервері немесе жұмыс станциясы үшін таңдаңыз.

Статикалық клиент WSS-арнасын ұстамайды, сондықтан оның online-статусы hub-тағы WireGuard-handshake-тің жаңалығы бойынша анықталады. Бұл қалыпты жағдай: мұндай клиент үшін агенттің heartbeat-і болмауы қате саналмайды.

4-қадам. VPN-мекенжай мен статусты тексеріңіз

Қосылғаннан кейін құрылғылар тізімін немесе желінің толық бетін ашыңыз.

Тексеріңіз:

• қатысушы дұрыс желіде пайда болды;
• VPN IP күтілетін ауқымнан берілген;
• статус қатысушы түріне сәйкес келеді;
• басқарылатын құрылғы үшін агент нұсқасы, модель және прошивка көрінеді, құрылғы бұл деректерді берсе;
• Last seen жаңарып тұр;
• құрылғы журналында қайталанатын қосылым қателері жоқ.

Құрылғы online болса да, жергілікті сервиске қолжетімділік жұмыс істемесе, агентті қайта орнатудан бастамаңыз. Алдымен маршруттарды, ACL-ды, subnet routes, peer mesh және ішкі желілердің қиылысуын тексеріңіз.

5-қадам. Роутер артындағы LAN-ға қолжетімділік қажет пе, шешіңіз

Роутердің Qarvix-қа қосылу фактісінің өзі оның артындағы бүкіл жергілікті желіні ашу керек дегенді әрқашан білдірмейді.

Типтік нұсқалар:

Басшылар мен сервистік командалар үшін бұл қарапайым көрінеді: нысан бір рет қосылады, ал қажетті LAN-ішкі желіге қолжетімділік панельде орталықтан қосылады.

6-қадам. Пайдаланушыға немесе командаға қолжетімділік беріңіз

Бір VPN-профильді бәріне бірдей таратпаңыз. Qarvix-та қолжетімділікті жеке немесе рөл арқылы беру дұрысырақ.

Минималды схема:

• әкімші ұйымды, желілерді және пайдаланушыларды басқарады;
• инженер тек қажетті нысандарға қолжетімділік алады;
• сервистік команда өз құрылғылары мен журналдарын көреді;
• мердігер уақытша немесе шектеулі қолжетімділік алады;
• интеграцияға арналған есептік жазба адамның құпия сөзін емес, API-токенді пайдаланады.

Компанияда бірыңғай кіру пайдаланылса, OIDC SSO қосуды жоспарлаңыз. Қолжетімділік қолмен берілсе, әкімшілік құқығы бар есептік жазбалар үшін 2FA қосыңыз.

7-қадам. Журналдар мен есептерді тексеріңіз

Алғашқы қосылымнан кейін тек байланыс фактісін ғана емес, оқиғалардың ізін де тексеріңіз.

Мыналарды қараңыз:

• аудит журналы: желіні, құрылғыны, токенді немесе қолжетімділік ережесін кім жасады;
• құрылғы журналы: агент қашан қосылды, конфигурацияны алды және баптауларды қолданды;
• құрылғылар тізімі: ағымдағы статустар мен соңғы online болған уақыттар;
• есептер: пайдалану, жұмысты бақылау немесе оқиғаны талдау үшін нені түсіріп алуға болады.

Есептер тек техникалық команда үшін ғана маңызды емес. Басшы үшін бұл нысандардың қосылғанының, қолжетімділіктің орталықтан басқарылатынының және пайдаланушылар әрекетін тексеруге болатынының дәлелі.

8-қадам. Құрылғылар API-іне қолжетімділікті тексеріңіз

Роутер артында камералар, PLC, есептеу аспаптары, датчиктер немесе жергілікті сервистер болса, Qarvix тек байланысқа ғана емес, осы құрылғылардың API-іне де туннель арқылы қолжетімділік бере алады.

Мысалдар:

• порт бағыттаусыз камераның веб-интерфейсін ашу;
• есептеу аспабынан деректерді жергілікті мекенжай бойынша алу;
• нысанның LAN-ішкі желісіндегі контроллер API-іне жүгіну;
• мониторинг сервисін роутер артындағы құрылғыларға қосу;
• мердігерге бүкіл желіні ашпай, тек қажетті API-ге ғана қолжетімділік беру.

Мұндай қолжетімділікті жеке сценарий ретінде рәсімдеген дұрыс: кім жүгінеді, қандай мекенжайға, қандай хаттама бойынша және қандай шектеулермен.

Алғашқы іске қосудың бақылау тізімі

• Ұйым дұрыс таңдалды.
• Желі қиылыспайтын VPN-ауқыммен құрылды.
• Құрылғы немесе клиент қажетті желіге қосылды.
• VPN IP дұрыс берілді.
• Басқарылатын роутер WSS пен WireGuard-ты ұстайды.
• Статикалық клиентте WireGuard-handshake жаңа.
• LAN-маршрут тек қажет болғанда ғана қосылды.
• ACL мен әдепкі қолжетімділік қауіпсіздік саясатына сәйкес келеді.
• Пайдаланушылар жеке қолжетімділік алады.
• Журналдарда қосылым мен конфигурацияны қолдану оқиғалары көрінеді.
• Нысан үшін туннель арқылы қандай сервистер қолжетімді екені түсінікті.

Әрі қарай не істеу керек

• Құрылғыларды жылдам қосу - роутерді немесе статикалық клиентті қадамдық қосу.
• Ұйымдар мен желілер - клиенттерді, филиалдарды және командаларды қалай бөлу керек.
• Пайдаланушылар, рөлдер және SSO - шақырулар, рөлдер, 2FA, API-токендер және OIDC SSO.
• Құрылғылар және VPN-мекенжайлар - статустар, токендер, клиенттер мен мекенжайлар.
• Желілер, маршруттар және ACL - exit node, peer mesh, subnet routes және қолжетімділік ережелері.
• Туннель арқылы құрылғылар API-і - роутер артындағы жергілікті сервистерге қолжетімділік.
• Журналдар мен есептер - пайдалану тексерісі мен бақылауға арналған материалдар.