Желілер, қатысушылар, exit node, ACL, peer mesh және subnet routes

Qarvix-тағы желі қорғалған WireGuard-контурын сипаттайды: қандай қатысушылар қосылған, оларға қандай VPN-мекенжайлар берілген, роутерлер арқылы қандай LAN-ішкі желілер қолжетімді және трафиктің қандай бағыттарына рұқсат етілген.

Жақсы желі болжамсыз түсінікті болады: қатысушы кім, gateway қайда, қандай ішкі желілер жарияланған, peer mesh қосылған ба, нысанға кім бара алады және exit node арқылы шығу бар ма.

Қысқаша

Желі hub-ты, басқарылатын құрылғыларды және статикалық клиенттерді біріктіреді.
VPN IP желінің CIDR-ауқымынан беріледі.
Subnet route роутер артындағы LAN-ішкі желіге қолжетімділік ашады.
Exit node трафикті таңдалған түйін арқылы бағыттауға мүмкіндік береді.
ACL құрылғылар топтары, желілер, маршруттар мен интернет арасындағы қолжетімділікті шектейді.
Peer mesh рұқсат етілгенде басқарылатын роутерлер арасында тікелей байланысқа жол береді; статикалық клиенттер mesh-ке қатыспайды.
Әдепкі қолжетімділікті жабық ұстап, тек қажетті бағыттарды ашу дұрысырақ.

Желі қатысушылары

Желі қатысушысы - Qarvix WireGuard-контурының peer-і.

Типтік қатысушылар:

Қатысушы	Мақсаты
Hub	желінің орталық түйіні және күйді қолдану нүктесі
Басқарылатын роутер	нысанды қосады және LAN-ішкі желілерді жариялай алады
Статикалық клиент	WireGuard-профилі бар ноутбук, телефон немесе сервер
Gateway	нысан артындағы ішкі желілер қолжетімді болатын құрылғы
Exit node	трафикті шығаруға болатын құрылғы

Бір басқарылатын роутер кәдімгі peer, LAN-ішкі желіге арналған gateway немесе exit node бола алады. Рөл сценарий мен желі баптауларына байланысты.

ACL үшін қатысушылар құрылғылар топтарына біріктіріледі. Қолжетімділік ережесі нақты роутерге емес, топқа беріледі: бұл ережелерді қайта құрмай-ақ құрылғыларды қосуға және алып тастауға мүмкіндік береді.

Желінің CIDR-і

Желінің CIDR-і қатысушылар үшін VPN-мекенжай ауқымын белгілейді.

Мысал:

Атауы: retail-east
CIDR: 10.110.0.0/24
Hub: 10.110.0.1
Нысан роутері: 10.110.0.4
Инженер: 10.110.0.8

Production-желіні жасар алдында тексеріңіз:

ауқым нысандардың LAN-ымен қиылыспайды;
ауқым корпоративтік VPN-мен қиылыспайды;
ауқым болашақ құрылғылар үшін жеткілікті үлкен;
мекенжайларды құжаттама мен қолдау қызметінде түсіндіруге болады.

Бірнеше филиал бірдей жергілікті ішкі желіні пайдаланса, мұны маршруттау кезінде ескеру керек. Кейде мұндай нысандарды жеке желілерге бөлген немесе NAT/мекенжай жоспарын алдын ала келіскен дұрысырақ.

Subnet routes

Subnet route - роутер артындағы жергілікті ішкі желіге дейінгі маршрут.

Мысал:

Qarvix-тағы нысан роутері: 10.110.0.4
Нысанның LAN-ы: 192.168.10.0/24
Камера: 192.168.10.20
PLC: 192.168.10.30

Маршрут қосылғаннан кейін, ACL рұқсат етсе, пайдаланушылар мен сервистер Qarvix арқылы LAN-дағы құрылғыларға жүгіне алады.

Subnet route мына жағдайларда қажет:

роутер артындағы камераларды ашу керек;
PLC немесе датчиктерден деректер алу керек;
жергілікті құрылғының веб-интерфейсіне кіру керек;
мониторинг сервері нысандағы API-ге жүгінуі тиіс;
LAN-дағы әрбір құрылғыда VPN баптағың келмейді.

Бүкіл LAN-ішкі желіні барлық пайдаланушыға ашпаңыз. Маршрут техникалық жетімділік береді, бірақ кімге рұқсат етілгенін қолжетімділік ережелері анықтауы тиіс.

Exit node

Exit node - шығыс трафикті бағыттауға болатын желі қатысушысы.

Сценарийлер:

сервистік команда нысанның мекенжайынан сыртқы ресурсқа шығуы керек;
нысан интернетті қалай көретінін диагностикалау керек;
трафикті уақытша қашықтағы роутер арқылы бағыттау керек;
тек нысан желісінен келетін қосылымдарға рұқсат ететін ресурстарға қолжетімділік беру керек.

Exit node-ты абайлап қосу керек. Ол трафик маршрутын өзгертеді және қауіпсіздікке, жылдамдыққа әрі қолжетімділікке әсер етуі мүмкін.

Қосар алдында тексеріңіз:

exit node-ты кімнің пайдалануға құқығы бар;
трафиктің қандай бағыттарына рұқсат етілген;
бұл клиент талаптарын бұзбай ма;
нысандағы арна өткізу қабілеті жеткілікті ме;
қосу оқиғалары журналда көріне ме.

ACL

ACL - құрылғылар тобы (немесе бүкіл желі) мен мақсат арасындағы қолжетімділік ережелері: басқа топ, ішкі желіге дейінгі маршрут, интернет немесе бүкіл желі.

ACL мына сұрақтарға жауап береді:

қай құрылғылар тобы роутерге қосыла алады;
қай топ LAN-ішкі желіге жүгіне алады;
құрылғылар API-іне қолжетімділікке рұқсат етілген бе;
желі қатысушылары бір-бірімен тікелей байланыса ала ма;
әдепкі бойынша не тыйым салынған.

ACL панельде нақты пайдаланушы қандай нысандарды көретінін шешпейді - мұны ұйым, рөл және оның қай желілерге байланғаны анықтайды. Инженер немесе мердігердің желілерді көру аясын шектеу керек болса, бұл ACL емес, рөлдің міндеті: толығырақ - Пайдаланушылар, рөлдер және SSO бөлімінде.

Практикалық тәсіл:

Тапсырма	Ереже
"Камералар" тобы тек "Сервистік команда" тобына қолжетімді	осы екі топ үшін бағытты рұқсат ету
Мониторинг датчиктерді сұрайды	тек қажетті мекенжайлар мен порттарды рұқсат ету
"Мердігерлер" тобы бір ғана нысанды көреді	топты нақты ішкі желімен немесе маршрутпен шектеу
Статикалық клиент басқа peer-лерді көрмеуі тиіс	артық бағыттарға тыйым салу

Жақсы қолжетімділік саясаты әдепкі бойынша тыйымнан басталады. Содан кейін тек қажетті бағыттар ашылады.

Әдепкі қолжетімділік

Әдепкі қолжетімділік нақты ереже болмаса не болатынын анықтайды.

Production-желілер үшін мына модель қауіпсізірек:

әдепкі бойынша тыйым салынған
тек нақты сипатталған бағыттарға рұқсат етілген

Мұндай тәсіл сәл көбірек баптауды талап етеді, бірақ артық ішкі желіні немесе нысанды кездейсоқ ашу қаупін төмендетеді.

Пилот үшін кейде еркінірек модельге рұқсат етіледі, бірақ пайдалануға берер алдында оны қайта қарау керек.

Peer mesh

Peer mesh техникалық тұрғыдан мүмкін болса және саясат рұқсат етсе, желі қатысушылары арасында тікелей байланысқа жол береді.

Peer mesh тек басқарылатын роутерлер арасында жұмыс істейді. Статикалық клиент mesh-ке ешқашан қатыспайды: онда конфигурациясы берілгеннен кейін тікелей WireGuard-байланысын тағайындауға, жаңартуға немесе алып тастауға болатын басқару арнасы жоқ. Бұл интерфейсте қосуға болатын баптау емес, іске асыру деңгейіндегі шектеу - mesh жұптары әрқашан екі роутер арасында ғана тағайындалады.

Peer mesh болмаса, трафик көбіне hub арқылы жүреді. Peer mesh болса, роутерлер жұбы бір-бірімен тікелей WireGuard-байланысына шыға алады, бұл кідірісті және орталық түйінге түсетін жүктемені азайтуы мүмкін.

Peer mesh мына жағдайларда пайдалы:

екі роутерге трафикпен жиі тікелей алмасу қажет;
бір желіде бірнеше басқарылатын роутер бар;
нысандар арасындағы аз кідіріс маңызды;
арналар тікелей байланысқа мүмкіндік береді.

Peer mesh-ті барлық роутер жұбы үшін автоматты түрде қоспаған жөн. Алдымен бұл нысандар арасындағы қолжетімділік шекараларын бұзбайтынын тексеріңіз.

Бір кликпен LAN-ішкі желілер

Qarvix-тың күшті сценарийлерінің бірі - әрбір жұмыс орнында WireGuard-ты қолмен баптамай-ақ LAN-ішкі желіге дейінгі маршрутты қосу.

Басшы үшін бұл былай көрінеді:

Нысан роутер арқылы қосылған
Әкімші LAN-ішкі желіге дейінгі маршрутты қосады
Сервистік команда қажетті құрылғыларға қолжетімділік алады
Сыртқа порттар ашылмайды
Нысанда ақ IP қажет емес

Инженер үшін бұл қолмен жасалатын конфигурациялардың және AllowedIPs, маршруттар мен кілттердегі қателердің азаюын білдіреді.

Типтік сценарийлер

Тек роутерге қолжетімділік

Роутердің өзін әкімшілендіру керек, бірақ LAN-ды ашу керек болмаса пайдаланыңыз.

Инженер -> роутердің VPN IP
Нысанның LAN-ы жарияланбайды

Камераларға немесе PLC-ге қолжетімділік

Subnet route пайдаланыңыз.

Инженер -> Qarvix Hub -> нысан роутері -> 192.168.10.0/24
ACL тек қажетті пайдаланушыларға рұқсат етеді

Бір контурдағы бірнеше нысан

Жеке маршруттар мен ACL пайдаланыңыз.

Сервистік команда -> A нысаны
Сервистік команда -> B нысаны
Мердігер -> тек C нысаны

Мониторингке арналған құрылғылар API-і

Тек қажетті мекенжай мен портты ашыңыз.

Мониторинг -> 192.168.10.50:8080
Қалған LAN жабық

Маршруттауды тексеру

Байланыс жұмыс істемесе, қабаттар бойынша тексеріңіз:

Қатысушы online.
VPN IP дұрыс берілген.
WireGuard-handshake жаңа.
Subnet route қосылған.
Роутер жергілікті LAN-ды біледі.
Нысандағы firewall трафикті өткізеді.
ACL бағытты рұқсат етеді.
Жергілікті құрылғы жауап береді.
Ішкі желілердің қиылысуы жоқ.

Құрылғы online болса, диагностиканы агентті қайта орнатудан бастамаңыз. Мәселе көбіне маршрутта, ACL-де, firewall-да немесе мекенжай жоспарында болады.

Бақылау тізімі

Желінің түсінікті аты бар.
CIDR LAN мен корпоративтік VPN-мен қайшы келмейді.
Қатысушылар дұрыс желіде.
Gateway-құрылғылар нақты белгіленген.
Subnet routes тек қажетті ішкі желілер үшін қосылған.
Exit node тек қажет жерде қосылған.
ACL артық бағыттарға тыйым салады.
Peer mesh саналы түрде қосылған.
LAN/API-ге қолжетімділік пайдаланушылар немесе рөлдер бойынша шектелген.
Журналдар маршруттар мен қолжетімділік ережелерінің өзгерістерін көрсетеді.

Байланысты бөлімдер

Құрылғылар және VPN-мекенжайлар - желіге қандай қатысушылар кіреді.
Туннель арқылы құрылғылар API-і - маршрут арқылы жергілікті API-ді қалай ашу керек.
Пайдаланушылар, рөлдер және SSO - желі мен ішкі желілерге кім қолжетімділік алады.
Диагностика және типтік мәселелер - маршруттау мәселелерін қалай талдау керек.