Организации и сети

Организация и сеть - это вся структура владения и группировки в Qarvix. Промежуточного уровня вроде "проекта" или "рабочей области" внутри организации в системе нет: организация сразу содержит сети, а сети - устройства, статических клиентов и правила доступа.

Если нужно сгруппировать объекты внутри одной организации - для этого есть сеть (отдельный VPN-контур) и группа устройств (именованный набор устройств для правил доступа, не привязанный к одной сети). Ниже показано, какой из этих инструментов брать для какой задачи, и почему не стоит искать в интерфейсе несуществующий "проект".

Коротко

• Организация - верхняя и единственная граница владения, доступа и отчетности.
• Сеть - изолированный WireGuard-контур внутри организации: свой CIDR, свои участники, свои правила.
• Группа устройств принадлежит организации, а не одной сети, и используется для правил доступа (ACL) - в нее можно включить устройства из разных сетей.
• Кто из людей что видит, определяется ролью и тем, к каким сетям она привязана, а не отдельной сущностью группировки.
• Для нескольких клиентов используйте отдельные организации.
• Для филиалов одного клиента используйте несколько сетей или группы устройств внутри одной сети - в зависимости от того, нужна ли им изоляция VPN-адресов.

Организация

Организация отвечает на вопрос: кому принадлежит контур и кто за него отвечает. Между организациями нет общей надстройки - каждая организация автономна, у нее свои пользователи, роли, сети, лицензия и журналы.

Организацию стоит выделять отдельно, если нужны:

• отдельные администраторы;
• отдельные пользователи и приглашения;
• независимые журналы и отчеты;
• разные договорные или лицензионные условия;
• разные политики безопасности;
• разделение клиентов сервисной компании.

Примеры организаций:

Не используйте одну организацию для нескольких независимых клиентов, если им нельзя видеть общие журналы, пользователей, устройства или отчеты. Общей надстройки, которая объединяла бы несколько организаций одного оператора, в системе тоже нет: каждая организация ведет свой биллинг, лицензию и доступ независимо.

Сеть

Сеть - это основной инструмент группировки внутри организации и одновременно технический WireGuard-контур: свой CIDR, свой hub-интерфейс, свои участники и свои правила маршрутизации. Там, где в других системах используют "проект" или "рабочую область", в Qarvix для группировки объектов используется сеть.

Заводите отдельную сеть, если нужно:

• разделить VPN-адресное пространство: устройства одной сети не должны получать адреса из диапазона другой;
• изолировать участников друг от друга по умолчанию, а не только правилами ACL;
• по-разному настроить exit node, peer mesh и подсети для разных групп объектов;
• иметь возможность отключить весь контур одним действием, не трогая остальные объекты организации.

Хорошие названия сетей:

• office-demo;
• warehouse-cameras;
• retail-east;
• meters-prod;
• service-team-vpn.

Плохие названия:

• test;
• wg1;
• new-net;
• router;
• anton.

В названии лучше отразить назначение, объект или группу объектов. Это помогает быстрее читать журналы, выдавать доступ и не путать маршруты.

Группы устройств

Если участников нужно сгруппировать не для изоляции VPN-адресов, а для правил доступа - используйте группу устройств. Группа принадлежит организации целиком, а не одной сети, поэтому в нее можно включить устройства из разных сетей и переиспользовать в разных правилах ACL.

Группа устройств полезна, когда:

• нужно одним правилом открыть доступ сразу нескольким однотипным устройствам, например всем камерам склада;
• устройства логически относятся к одному направлению, но физически подключены в разных сетях;
• список устройств меняется чаще, чем правила доступа - правило ссылается на группу, а не на конкретный VPN IP.

Группа устройств - это не замена сети: она не выдает VPN-адреса и не создает изоляцию по умолчанию, только группирует устройства для правил ACL.

Роли и привязка к сетям

Разделение доступа между людьми - филиалами, командами, подрядчиками - в Qarvix задается не отдельной сущностью группировки, а ролью и ее привязкой к конкретным сетям.

Практически это означает: чтобы инженер видел только один объект, а не все сети организации, роль, через которую он приглашен, привязывают только к нужной сети. Подробнее - в разделе Пользователи, роли и SSO.

Типовые модели структуры

Один объект

Подходит для пилота или небольшой площадки.

• Организация: Компания;
• Сеть: office-net;
• Устройства: роутер объекта, статический клиент администратора.

Плюсы: быстро стартовать, мало сущностей.

Риск: если объектов станет много, придется заранее продумать, разводить ли их по сетям или группам устройств.

Несколько филиалов одного клиента

Подходит для розницы, офисов, складов, камер и локальных сервисов. Есть два варианта, в зависимости от того, нужна ли филиалам изоляция VPN-адресов друг от друга.

Если филиалы должны быть полностью изолированы по сети:

• Организация: Клиент;
• Сети: branch-almaty, branch-astana, branch-shymkent;
• Устройства: роутеры филиалов, LAN-маршруты, статические клиенты инженеров.

Если филиалам достаточно общего VPN-пространства, а разделение нужно только для правил доступа:

• Организация: Клиент;
• Сеть: retail-all;
• Группы устройств: branch-almaty, branch-astana, branch-shymkent.

Плюсы обоих вариантов: единый клиент, централизованные пользователи и отчеты.

Риск первого варианта: нужно заранее продумать VPN-диапазоны, чтобы они не пересекались. Риск второго: без ACL-правил между группами устройства разных филиалов могут видеть друг друга в одной сети.

Сервисная компания с несколькими клиентами

Подходит для подрядчика, который обслуживает объекты разных заказчиков. Общей надстройки над организациями для этого сценария нет - каждый клиент получает свою организацию, полностью независимую от остальных.

• Организация Клиент А - сеть с объектами клиента А;
• Организация Клиент Б - сеть с объектами клиента Б;
• Организация Внутренний контур сервиса - сети Мониторинг, Тесты.

Плюсы: клиенты изолированы, отчеты и журналы не смешиваются.

Риск: сервисной команде нужно аккуратно привязывать роли к нужным сетям, чтобы инженер видел только нужных клиентов - между организациями нет общего входа, каждая требует отдельного членства.

Один контур для камер, датчиков и API устройств

Подходит, когда за роутером находятся не рабочие места, а локальные устройства.

• Организация: Клиент;
• Сеть: cameras-and-sensors;
• Маршруты: LAN-подсеть объекта;
• Доступ: сервисная команда, мониторинг, API-интеграции.

Плюсы: можно дать доступ к нужным устройствам через туннель без белого IP и проброса портов.

Риск: доступ к LAN нужно ограничивать правилами, а не открывать всю подсеть всем пользователям.

Как выбрать структуру

Используйте отдельную организацию, если ответ "да" хотя бы на один вопрос:

• у этого клиента отдельные пользователи;
• нужны отдельные отчеты;
• нельзя смешивать журналы;
• разные договоры или лицензии;
• разные администраторы;
• требуется жесткая изоляция.

Используйте отдельную сеть, если:

• нужен отдельный VPN-диапазон;
• устройства не должны свободно видеть друг друга по умолчанию;
• разные ACL, peer mesh или exit node для разных групп объектов;
• маршруты до LAN-подсетей отличаются;
• объект должен быть отключаемым как единый контур.

Используйте группу устройств (в рамках одной сети), если:

• нужно сгруппировать объекты только для правил ACL;
• изоляция VPN-адресов не требуется;
• список устройств в группе будет часто меняться.

Привязывайте роль к конкретной сети, если:

• нужно ограничить, какие сети видит конкретный человек;
• разные команды работают с разными объектами;
• подрядчику нужен доступ только к одной сети.

Рекомендации по именованию

Раз в системе нет промежуточного уровня группировки, единый формат имен - это то, что реально держит структуру читаемой в списках, журналах и отчетах.

Используйте единый формат: тип-объекта-локация.

Примеры:

• retail-almaty-01;
• warehouse-astana-cameras;
• meters-kokshetau-prod;
• office-demo;
• service-laptops.

Для устройств полезно добавлять роль:

• router-almaty-01;
• hub-prod;
• client-engineer-ivanov;
• camera-gateway-warehouse;
• plc-router-line-2.

Не используйте в названиях временные пометки вроде new, old, test2. Такие имена быстро становятся непонятными, а переименовать сеть или группу задним числом сложнее, чем сразу назвать правильно.

Доступ и ответственность

Структура организаций и сетей напрямую влияет на права.

Базовый подход:

• администраторы организации управляют пользователями, сетями и устройствами;
• инженеры получают доступ только к нужным сетям через привязку роли к этим сетям;
• подрядчики получают ограниченный доступ на время работ;
• API-токены используются для интеграций и автоматизации;
• учетные записи сотрудников не используются как сервисные.

Если нужно отключить сотрудника или подрядчика, важно понимать, где у него есть доступ: на уровне организации в целом или на уровне отдельных сетей через роль.

Что хранить на уровне организации

На уровне организации обычно фиксируются:

• пользователи и приглашения;
• роли и политики доступа;
• настройки SSO, если используется единый вход;
• API-токены для интеграций;
• лицензионные параметры;
• общие журналы и отчеты;
• правила именования и эксплуатационные соглашения.

На уровне сети лучше держать то, что относится к конкретной группе объектов: устройства, маршруты, группы устройств и ACL, peer mesh, exit node и доступ к LAN/API.

Проверка перед вводом в эксплуатацию

Перед тем как отдавать контур в работу, проверьте:

• организация названа понятно;
• сети не используют пересекающиеся VPN-диапазоны;
• локальные LAN-подсети объектов не конфликтуют между собой;
• пользователи не получают лишний доступ за пределами нужных им сетей;
• для подрядчиков есть понятный срок и граница доступа;
• события видны в журналах;
• отчеты можно сформировать по нужной организации или сети;
• понятно, кто владелец каждой сети и каждого устройства.

Частые ошибки

Ищут в интерфейсе уровень группировки выше организации

В Qarvix его нет: организация сразу содержит сети. Если нужна дополнительная структура, используйте несколько сетей или группы устройств внутри сети - в зависимости от того, нужна ли изоляция VPN-адресов.

Все клиенты в одной организации

Так быстрее на старте, но позже появляются проблемы с правами, журналами и отчетами. Для независимых клиентов используйте разные организации.

Одна сеть на все объекты без группировки

Иногда это удобно, но чаще приводит к лишней связности между площадками. Если объекты должны быть изолированы, создавайте отдельные сети или как минимум разводите устройства по группам и ограничивайте связность правилами ACL.

Нет единого формата имен

Через несколько месяцев названия вроде test, router2, new branch перестают что-либо объяснять. Лучше сразу договориться о формате имен.

Подрядчику выдают административный доступ

Для разовых работ лучше ограничить доступ, привязав роль к конкретной сети, и задать срок действия. Административные роли стоит оставлять только тем, кто реально управляет контуром.

Не проверены пересечения подсетей

Если VPN-диапазон или LAN-подсеть совпадает с другой сетью, маршрутизация может работать непредсказуемо. Проверяйте адресный план до подключения production-объектов.

Связанные разделы

• Первые шаги в Qarvix - общий маршрут первого запуска.
• Пользователи, роли и SSO - как выдавать и отзывать доступ, привязка ролей к сетям.
• Сети, маршруты и ACL - как устроены сети, группы устройств, маршруты и правила доступа.
• Журналы и отчеты - как проверять действия и готовить эксплуатационные материалы.