Устройства, статические клиенты, управляемое подключение и VPN-адреса

Устройство в Qarvix - это участник управляемой сети. Это может быть роутер с агентом, hub, статический WireGuard-клиент или другой узел, которому нужен защищенный доступ.

Раздел объясняет, чем отличаются типы участников, как используются одноразовые токены подключения, что означает VPN IP и почему online-статус управляемого устройства и статического клиента определяется по-разному.

Коротко

Управляемое устройство работает с агентом Qarvix и держит WSS-канал управления.
Статический клиент использует WireGuard-профиль без агента.
VPN IP выдается из диапазона выбранной сети.
Токен подключения нужен для первичной регистрации устройства и не должен использоваться повторно.
Online-статус управляемого устройства связан с агентом и WireGuard-состоянием.
Online-статус статического клиента определяется по свежести WireGuard-handshake.
Модель, прошивка и версия агента помогают при сопровождении и диагностике.

Типы участников

Тип	Где используется	Как подключается	Что важно
Управляемое устройство	роутер, gateway, объект за NAT	агент Qarvix + токен	WSS для управления, WireGuard для трафика
Статический клиент	ноутбук, телефон, сервер	WireGuard-профиль	нет агента и WSS, статус по handshake
Hub	центральный WireGuard-узел сети	управляется системой	принимает peer-соединения и маршруты
Устройство за роутером	камера, PLC, датчик, API	через LAN-маршрут	не обязательно является участником WireGuard

Не все устройства на объекте должны быть отдельными участниками Qarvix. Часто достаточно подключить роутер и открыть через него нужную LAN-подсеть или конкретный API.

Управляемое устройство

Управляемое устройство - это роутер или edge-узел, на котором установлен агент Qarvix. Список моделей, для которых уже есть готовая сборка агента, - в разделе Поддерживаемое оборудование.

Агент выполняет несколько задач:

подключается к control plane по WSS;
получает конфигурацию сети;
настраивает WireGuard;
передает heartbeat и диагностические данные;
применяет маршруты, если устройство используется как gateway;
сообщает модель, прошивку, версию агента и другие сведения, если они доступны.

Такой сценарий подходит для объектов, где нет белого IP, есть NAT оператора, используется обычная SIM-карта или нельзя открывать входящие порты.

Статический клиент

Статический клиент - это участник сети без агента Qarvix. Обычно это ноутбук инженера, телефон, рабочая станция или сервер, на котором используется обычный WireGuard-клиент.

Особенности:

нет WSS-канала управления;
нет heartbeat агента;
приватный ключ должен оставаться у клиента;
статус определяется по WireGuard-handshake;
конфигурацию нужно хранить безопасно;
при компрометации ключа используйте "Rotate key and generate config" на странице устройства - VPN IP, история и принадлежность к группам сохранятся, поменяется только ключевая пара.

Статический клиент удобен для персонального доступа инженеров, временного доступа подрядчиков и подключения сервисных серверов.

Hub

Hub - это центральный WireGuard-узел сети Qarvix. В технической схеме это не отдельная коробка на объекте, а интерфейс и логика на стороне контрольного контура.

Hub отвечает за:

прием WireGuard-соединений;
хранение peer-состояния;
handshake-статистику;
маршрутизацию между участниками;
применение AllowedIPs, ACL и маршрутов;
определение свежести статических клиентов.

При обычной эксплуатации пользователю не нужно вручную настраивать hub. Он важен для понимания, почему статический клиент может быть online без агента и почему его состояние оценивается иначе, чем у управляемого роутера.

VPN-адрес

VPN IP - это адрес участника внутри сети Qarvix. Он выдается из CIDR-диапазона выбранной сети.

Пример:

Сеть: home-net
CIDR: 10.100.0.0/24
VPN IP устройства: 10.100.0.4
VPN IP клиента: 10.100.0.8

VPN IP нужен для:

обращения к самому участнику;
маршрутизации между peer-ами;
правил ACL;
диагностики доступности;
отчетов и журналов;
связи с LAN-подсетями за gateway-устройствами.

Перед созданием production-сети проверьте, что VPN-диапазон не пересекается с локальными сетями объектов и корпоративными VPN.

Одноразовые токены подключения

Токен подключения используется для первичной регистрации управляемого устройства.

Что важно:

токен должен быть одноразовым;
токен должен иметь ограниченный срок действия;
токен привязывает устройство к выбранной организации и сети;
токен не должен публиковаться в общих чатах;
после использования токен считается скомпрометированным для повторного применения;
если срок истек или подключение сорвалось, нужно создать новый токен.

Токен нужен только на этапе подключения. После регистрации устройство должно работать по своим учетным данным и ключам.

Управляемое подключение

Управляемое подключение удобно тем, что инженер на объекте не настраивает WireGuard вручную.

Типовой процесс:

Администратор выбирает сеть в Qarvix.
Создает токен подключения.
Передает токен инженеру или вводит его при установке агента.
Агент подключается к control plane по WSS.
Qarvix выдает конфигурацию WireGuard.
Устройство получает VPN IP.
Администратор проверяет статус, журналы и доступность.

Для объектов за мобильным оператором это особенно важно: не нужен белый IP и не нужно настраивать проброс портов у оператора.

Online и Offline

Статусы нужно читать с учетом типа участника.

Управляемое устройство

Для управляемого устройства важны:

WSS-сессия агента;
heartbeat;
состояние WireGuard;
время последней связи;
результат применения конфигурации.

Если WSS пропал, устройство может перестать получать команды и обновления. Если WireGuard не поднялся, пользовательский трафик не пойдет, даже если агент смог связаться с control plane.

Статический клиент

У статического клиента нет агента и heartbeat. Поэтому его online-статус определяется по свежести WireGuard-handshake на hub.

Это означает:

клиент может выглядеть offline, если давно не передавал трафик;
это не всегда ошибка;
для проверки можно инициировать трафик от клиента;
если handshake свежий, значит WireGuard-связь была активна недавно.

Данные устройства

Для управляемых устройств полезно сохранять и отображать:

имя устройства;
сеть;
VPN IP;
модель;
производитель;
версия прошивки;
версия агента;
время последнего подключения;
роль устройства: обычный peer, gateway, exit node;
доступные capabilities агента.

Эти данные помогают понять, какие устройства требуют обновления, какие модели находятся в эксплуатации и где искать проблему при обращении в поддержку.

Устройства за роутером

Камеры, PLC, датчики, кассы, приборы учета и локальные API часто не устанавливают WireGuard напрямую. Они остаются в LAN за роутером, а Qarvix открывает к ним доступ через маршрут.

Пример:

Роутер объекта: 10.100.0.4
LAN за роутером: 192.168.10.0/24
Камера: 192.168.10.20
PLC: 192.168.10.30
API прибора учета: 192.168.10.50:8080

В этом случае участником Qarvix является роутер, а локальные устройства доступны через subnet route и правила доступа.

Когда создавать отдельный статический клиент

Создавайте статический клиент, если:

пользователю нужен персональный VPN-доступ;
сервер должен обращаться к устройствам через туннель;
нужно подключить телефон или ноутбук без агента;
подрядчику нужен временный доступ;
интеграция работает из внешней сети и не находится за управляемым роутером.

Не используйте один статический профиль для нескольких людей. Если профиль попал не туда, будет сложно понять, кто именно подключался.

Когда нужен управляемый роутер

Управляемый роутер нужен, если:

объект находится за NAT или обычной SIM-картой;
нужно открыть LAN-подсеть за роутером;
нужно управлять маршрутизацией централизованно;
нужно получать состояние устройства и версию агента;
нужно подключать камеры, PLC, датчики или API на объекте;
важно применять конфигурацию без ручной настройки WireGuard на каждом устройстве.

Это основной вариант для промышленности, розницы, удаленных объектов и сервисного обслуживания.

Проверка после добавления

После добавления устройства или клиента проверьте:

правильную организацию;
правильную сеть;
корректный VPN IP;
статус online/offline;
свежесть Last seen;
наличие события в журнале аудита;
события подключения в журнале устройства;
отсутствие конфликтов VPN-адресов и подсетей;
применились ли маршруты и ACL, если они нужны.

Частые проблемы

Устройство не появилось в списке

Проверьте токен, срок его действия, доступ устройства к control plane, DNS, TLS и сетевые ограничения на объекте.

Устройство появилось, но offline

Проверьте WSS-соединение агента, логи устройства, доступ до сервера, время на устройстве и возможные блокировки со стороны оператора или firewall.

Устройство online, но нет доступа к LAN

Проверьте subnet route, локальную подсеть, firewall на роутере, ACL, peer mesh и пересечение адресных диапазонов.

Статический клиент offline

Если клиент давно не передавал трафик, это может быть нормальным состоянием. Инициируйте трафик с клиента и проверьте свежесть handshake.

VPN IP конфликтует с локальной сетью

Выберите другой CIDR для сети Qarvix или измените локальную адресацию объекта. Пересечение подсетей лучше исправлять до production-запуска.

Контрольный список

Устройство или клиент находится в правильной организации.
Устройство добавлено в правильную сеть.
VPN IP выдан из ожидаемого диапазона.
Управляемое устройство держит WSS и WireGuard.
Статический клиент имеет отдельный профиль.
Токены подключения не используются повторно.
Модель, прошивка и версия агента отображаются, если доступны.
Для LAN-доступа настроен subnet route.
ACL не открывают лишние направления.
В журналах видны события подключения и изменения конфигурации.

Связанные разделы

Быстрое подключение устройств - практический сценарий добавления устройства или клиента.
Первые шаги в Qarvix - общий маршрут первого запуска.
Сети, маршруты и ACL - правила связности и маршрутизации.
API устройств через туннель - доступ к локальным сервисам за роутером.
Диагностика и типовые проблемы - что проверять при ошибках подключения.