កុងស៊ុល + iptables = : ៣

ក្នុងឆ្នាំ 2010 ក្រុមហ៊ុន Wargaming មានម៉ាស៊ីនមេចំនួន 50 និងគំរូបណ្តាញសាមញ្ញមួយ៖ ផ្នែកខាងក្រោយ ផ្នែកខាងមុខ និងជញ្ជាំងភ្លើង។ ចំនួនម៉ាស៊ីនមេកើនឡើង គំរូកាន់តែស្មុគស្មាញ៖ ដំណាក់កាល ញែក VLANs ជាមួយ ACLs បន្ទាប់មក VPNs ជាមួយ VRFs VLANs ជាមួយ ACLs នៅលើ L2 VRFs ជាមួយ ACLs នៅលើ L3 ។ ក្បាលវិល? វានឹងកាន់តែសប្បាយនៅពេលក្រោយ។

នៅពេលដែលមានម៉ាស៊ីនមេចំនួន 16 វាមិនអាចដំណើរការដោយគ្មានទឹកភ្នែកជាមួយនឹងផ្នែកខុស ៗ គ្នាជាច្រើន។ ដូច្នេះ យើង​បាន​រក​ដំណោះស្រាយ​មួយ​ទៀត។ យើងបានយកជង់ Netfilter បន្ថែមកុងស៊ុលទៅវាជាប្រភពទិន្នន័យ ហើយយើងទទួលបានជញ្ជាំងភ្លើងដែលចែកចាយលឿន។ ពួកគេបានជំនួស ACLs នៅលើរ៉ោតទ័រ ហើយប្រើវាជាជញ្ជាំងភ្លើងខាងក្រៅ និងខាងក្នុង។ ដើម្បីគ្រប់គ្រងឧបករណ៍ដោយថាមវន្ត យើងបានបង្កើតប្រព័ន្ធ BEFW ដែលត្រូវបានប្រើនៅគ្រប់ទីកន្លែង៖ ពីការគ្រប់គ្រងការចូលប្រើរបស់អ្នកប្រើប្រាស់ទៅកាន់បណ្តាញផលិតផល រហូតដល់ការបែងចែកបណ្តាញដាច់ដោយឡែកពីគ្នាទៅវិញទៅមក។

គាត់នឹងប្រាប់អ្នកពីរបៀបដែលវាដំណើរការទាំងអស់ និងមូលហេតុដែលអ្នកគួរពិនិត្យមើលឱ្យកាន់តែច្បាស់អំពីប្រព័ន្ធនេះ។ លោក Ivan Agarkov (annmuor) គឺជាប្រធានក្រុមសន្តិសុខហេដ្ឋារចនាសម្ព័ន្ធនៃផ្នែកថែទាំនៅមជ្ឈមណ្ឌលអភិវឌ្ឍន៍ Minsk របស់ក្រុមហ៊ុន។ Ivan គឺជាអ្នកគាំទ្រ SELinux ស្រឡាញ់ Perl និងសរសេរកូដ។ ក្នុងនាមជាប្រធានក្រុមសន្តិសុខព័ត៌មាន គាត់តែងតែធ្វើការជាមួយនឹងកំណត់ហេតុ ការបម្រុងទុក និង R&D ដើម្បីការពារ Wargaming ពីពួក Hacker និងធានានូវប្រតិបត្តិការនៃម៉ាស៊ីនមេហ្គេមទាំងអស់នៅក្នុងក្រុមហ៊ុន។

ប្រវត្តិសាស្រ្ត

មុននឹងខ្ញុំប្រាប់អ្នកពីរបៀបដែលយើងធ្វើវា ខ្ញុំនឹងប្រាប់អ្នកពីរបៀបដែលយើងមកនេះតាំងពីដំបូង និងហេតុអ្វីចាំបាច់។ ដើម្បីធ្វើដូច្នេះ ចូរយើងត្រលប់ទៅ 9 ឆ្នាំ: 2010, World of Tanks ទើបតែបានបង្ហាញខ្លួន។ Wargaming មានម៉ាស៊ីនមេប្រហែល 50 ។

តារាងកំណើនម៉ាស៊ីនមេរបស់ក្រុមហ៊ុន។

យើងមានគំរូបណ្តាញ។ សម្រាប់ពេលនោះវាល្អប្រសើរបំផុត។

គំរូបណ្តាញក្នុងឆ្នាំ ២០១០ ។

មាន​មនុស្ស​អាក្រក់​នៅ​ខាង​មុខ​ដែល​ចង់​បំបែក​យើង ប៉ុន្តែ​វា​មាន​ជញ្ជាំង​ភ្លើង។ មិនមានជញ្ជាំងភ្លើងនៅលើ backend ទេ ប៉ុន្តែមាន 50 servers នៅទីនោះ យើងស្គាល់ពួកវាទាំងអស់។ អ្វីៗដំណើរការបានល្អ។

ក្នុងរយៈពេល 4 ឆ្នាំ កងនាវារបស់ម៉ាស៊ីនមេកើនឡើង 100 ដង ដល់ 5000 ។ បណ្តាញដាច់ស្រយាលដំបូងបានបង្ហាញខ្លួន - ដំណាក់កាល៖ ពួកគេមិនអាចទៅផលិតកម្មបានទេ ហើយជារឿយៗមានអ្វីៗដំណើរការនៅទីនោះដែលអាចមានគ្រោះថ្នាក់។

គំរូបណ្តាញក្នុងឆ្នាំ ២០១០ ។

ដោយនិចលភាព យើងបានប្រើផ្នែកដូចគ្នានៃផ្នែករឹង ហើយការងារទាំងអស់ត្រូវបានអនុវត្តនៅលើ VLANs ដាច់ដោយឡែក៖ ACLs ត្រូវបានសរសេរទៅកាន់ VLANs ដែលអនុញ្ញាត ឬបដិសេធប្រភេទនៃការតភ្ជាប់មួយចំនួន។

នៅឆ្នាំ 2016 ចំនួននៃម៉ាស៊ីនមេបានឈានដល់ 8000 ។ Wargaming បានស្រូបយកស្ទូឌីយោផ្សេងទៀត ហើយបណ្តាញសម្ព័ន្ធបន្ថែមបានបង្ហាញខ្លួន។ ពួកវាហាក់ដូចជារបស់យើង ប៉ុន្តែមិនច្បាស់ទេ៖ VLAN ជារឿយៗមិនដំណើរការសម្រាប់ដៃគូទេ អ្នកត្រូវប្រើ VPN ជាមួយ VRF ភាពឯកោកាន់តែស្មុគស្មាញ។ ល្បាយអ៊ីសូឡង់ ACL បានកើនឡើង។

គំរូបណ្តាញក្នុងឆ្នាំ ២០១០ ។

នៅដើមឆ្នាំ 2018 កងនាវានៃម៉ាស៊ីនបានកើនឡើងដល់ 16 ។ មាន 000 ផ្នែក ហើយយើងមិនបានរាប់ចំនួនដែលនៅសល់ រួមទាំងផ្នែកបិទដែលទិន្នន័យហិរញ្ញវត្ថុត្រូវបានរក្សាទុក។ បណ្តាញកុងតឺន័រ (Kubernetes), DevOps, បណ្តាញពពកដែលបានតភ្ជាប់តាមរយៈ VPN ឧទាហរណ៍ពី IVS បានបង្ហាញខ្លួន។ មានច្បាប់ជាច្រើន - វាឈឺចាប់។

គំរូបណ្តាញ និងវិធីសាស្រ្តដាច់ដោយឡែកក្នុងឆ្នាំ 2018 ។

សម្រាប់ភាពឯកោ យើងបានប្រើ៖ VLAN ជាមួយ ACL នៅលើ L2, VRF ជាមួយ ACL នៅលើ L3, VPN និងច្រើនទៀត។ ច្រើន​ពេក។

បញ្ហា

មនុស្សគ្រប់គ្នារស់នៅជាមួយ ACL និង VLAN ។ មាន​បញ្ហា​អ្វី? សំណួរនេះនឹងត្រូវបានឆ្លើយដោយ Harold ដោយលាក់បាំងការឈឺចាប់។

មានបញ្ហាជាច្រើន ប៉ុន្តែមានប្រាំយ៉ាងធំ។

• ការកើនឡើងតម្លៃធរណីមាត្រសម្រាប់ច្បាប់ថ្មី។. ច្បាប់ថ្មីនីមួយៗត្រូវចំណាយពេលយូរដើម្បីបន្ថែមជាងច្បាប់មុន ព្រោះវាចាំបាច់ដើម្បីពិនិត្យមើលជាមុនសិនថាតើមានច្បាប់បែបនេះរួចហើយឬនៅ។
• មិនមានជញ្ជាំងភ្លើងនៅខាងក្នុងផ្នែកទេ។. ផ្នែកត្រូវបានបំបែកចេញពីគ្នាទៅវិញទៅមក ហើយមិនមានធនធានគ្រប់គ្រាន់នៅខាងក្នុងទេ។
• ច្បាប់ត្រូវបានអនុវត្តជាយូរមកហើយ។ ប្រតិបត្តិករអាចសរសេរច្បាប់មូលដ្ឋានមួយដោយដៃក្នុងរយៈពេលមួយម៉ោង។ ពិភពលោកបានចំណាយពេលជាច្រើនថ្ងៃ។
• ភាពលំបាកជាមួយច្បាប់សវនកម្ម. ច្បាស់ជាងនេះទៅទៀត វាមិនអាចទៅរួចនោះទេ។ ច្បាប់ដំបូងត្រូវបានសរសេរឡើងវិញក្នុងឆ្នាំ 2010 ហើយភាគច្រើននៃអ្នកនិពន្ធរបស់ពួកគេលែងធ្វើការឱ្យក្រុមហ៊ុនទៀតហើយ។
• កម្រិតទាបនៃការគ្រប់គ្រងហេដ្ឋារចនាសម្ព័ន្ធ. នេះគឺជាបញ្ហាចម្បង - យើងមិនបានដឹងច្បាស់អំពីអ្វីដែលកំពុងកើតឡើងនៅក្នុងប្រទេសរបស់យើង។

នេះគឺជាអ្វីដែលវិស្វករបណ្តាញមើលទៅដូចនៅឆ្នាំ 2018 នៅពេលដែលគាត់បានលឺថា "ត្រូវការ ACL បន្ថែមទៀត" ។

ដំណោះស្រាយ

នៅដើមឆ្នាំ 2018 វាត្រូវបានសម្រេចចិត្តធ្វើអ្វីមួយអំពីវា។

តម្លៃនៃការរួមបញ្ចូលកំពុងកើនឡើងឥតឈប់ឈរ។ ចំណុចចាប់ផ្តើមគឺថាមជ្ឈមណ្ឌលទិន្នន័យធំបានបញ្ឈប់ការគាំទ្រ VLANs និង ACLs ដាច់ដោយឡែកពីព្រោះតែឧបករណ៍អស់អង្គចងចាំ។

ដំណោះស្រាយ៖ យើងបានដកកត្តាមនុស្សចេញ ហើយធ្វើស្វ័យប្រវត្តិកម្មការផ្តល់សិទ្ធិចូលប្រើប្រាស់អតិបរមា។

ច្បាប់ថ្មីត្រូវចំណាយពេលយូរដើម្បីអនុវត្ត។ ដំណោះស្រាយ៖ បង្កើនល្បឿនការអនុវត្តច្បាប់ ធ្វើឱ្យវាចែកចាយ និងស្របគ្នា។ នេះតម្រូវឱ្យមានប្រព័ន្ធចែកចាយដូច្នេះច្បាប់ត្រូវបានបញ្ជូនដោយខ្លួនឯងដោយគ្មាន rsync ឬ SFTP ទៅប្រព័ន្ធមួយពាន់។

មិនមានជញ្ជាំងភ្លើងនៅខាងក្នុងផ្នែកទេ។ ជញ្ជាំងភ្លើងនៅក្នុងផ្នែកបានចាប់ផ្តើមមករកយើង នៅពេលដែលសេវាកម្មផ្សេងៗបានបង្ហាញខ្លួននៅក្នុងបណ្តាញតែមួយ។ ដំណោះស្រាយ៖ ប្រើជញ្ជាំងភ្លើងនៅកម្រិតម៉ាស៊ីន - ជញ្ជាំងភ្លើងផ្អែកលើម៉ាស៊ីន។ ស្ទើរតែគ្រប់ទីកន្លែងដែលយើងមានលីនុច ហើយគ្រប់ទីកន្លែងដែលយើងមាន iptables វាមិនមែនជាបញ្ហាទេ។

ភាពលំបាកជាមួយច្បាប់សវនកម្ម។ ដំណោះស្រាយ៖ រក្សាច្បាប់ទាំងអស់នៅកន្លែងតែមួយសម្រាប់ពិនិត្យ និងគ្រប់គ្រង ដូច្នេះយើងអាចធ្វើសវនកម្មគ្រប់យ៉ាង។

កម្រិតទាបនៃការគ្រប់គ្រងលើហេដ្ឋារចនាសម្ព័ន្ធ។ ដំណោះស្រាយ៖ យកបញ្ជីសារពើភណ្ឌនៃសេវាកម្មទាំងអស់ និងការចូលប្រើរវាងពួកវា។

នេះគឺជាដំណើរការរដ្ឋបាលច្រើនជាងបច្ចេកទេស។ ពេលខ្លះយើងមានការចេញផ្សាយថ្មីពី 200-300 ក្នុងមួយសប្តាហ៍ ជាពិសេសក្នុងអំឡុងពេលផ្សព្វផ្សាយ និងថ្ងៃឈប់សម្រាក។ លើសពីនេះទៅទៀត នេះគឺសម្រាប់តែក្រុមមួយរបស់ DevOps របស់យើងប៉ុណ្ណោះ។ ជាមួយនឹងការចេញផ្សាយជាច្រើន វាមិនអាចទៅរួចទេក្នុងការមើលថាតើច្រក អាយភី និងការរួមបញ្ចូលអ្វីខ្លះដែលត្រូវការ។ ដូច្នេះហើយ យើងត្រូវការអ្នកគ្រប់គ្រងសេវាកម្មដែលបានទទួលការបណ្តុះបណ្តាលពិសេសដែលសួរក្រុមថា "តើមានអ្វីកើតឡើង ហើយហេតុអ្វីបានជាអ្នកនាំយកវាមក?"

បន្ទាប់ពីអ្វីៗគ្រប់យ៉ាងដែលយើងបានដាក់ឱ្យដំណើរការ វិស្វករបណ្តាញនៅឆ្នាំ 2019 បានចាប់ផ្តើមមើលទៅដូចនេះ។

កុងស៊ុល

យើងបានសម្រេចចិត្តថាយើងនឹងដាក់អ្វីគ្រប់យ៉ាងដែលយើងបានរកឃើញដោយមានជំនួយពីអ្នកគ្រប់គ្រងសេវាកម្មទៅកុងស៊ុល ហើយពីទីនោះយើងនឹងសរសេរច្បាប់ iptables ។

តើ​យើង​សម្រេច​ចិត្ត​ធ្វើ​បែប​នេះ​ដោយ​របៀប​ណា?

• យើងនឹងប្រមូលសេវាកម្ម បណ្តាញ និងអ្នកប្រើប្រាស់ទាំងអស់។
• តោះបង្កើតច្បាប់ iptables ដោយផ្អែកលើពួកវា។
• យើងគ្រប់គ្រងដោយស្វ័យប្រវត្តិ។
• ... ។
• ប្រាក់ចំណេញ។

Consul មិនមែនជា API ពីចម្ងាយទេ វាអាចដំណើរការលើគ្រប់ node ហើយសរសេរទៅកាន់ iptables។ អ្វីដែលនៅសេសសល់គឺត្រូវមកជាមួយការគ្រប់គ្រងដោយស្វ័យប្រវត្តិដែលនឹងសម្អាតអ្វីដែលមិនចាំបាច់ ហើយបញ្ហាភាគច្រើននឹងត្រូវបានដោះស្រាយ! យើង​នឹង​ធ្វើ​អ្វី​ដែល​នៅ​សល់​ពេល​យើង​ទៅ។

ហេតុអ្វីកុងស៊ុល?

បានបង្ហាញឱ្យឃើញពីខ្លួនវាយ៉ាងល្អ។ នៅក្នុងឆ្នាំ 2014-15 យើងបានប្រើវាជា backend សម្រាប់ Vault ដែលយើងរក្សាទុកពាក្យសម្ងាត់។

មិនបាត់បង់ទិន្នន័យ. ក្នុងអំឡុងពេលនៃការប្រើប្រាស់ កុងស៊ុលមិនបានបាត់បង់ទិន្នន័យក្នុងអំឡុងពេលគ្រោះថ្នាក់តែមួយនោះទេ។ នេះគឺជាការបូកដ៏ធំសម្រាប់ប្រព័ន្ធគ្រប់គ្រងជញ្ជាំងភ្លើង។

ការតភ្ជាប់ P2P បង្កើនល្បឿនការរីករាលដាលនៃការផ្លាស់ប្តូរ. ជាមួយនឹង P2P ការផ្លាស់ប្តូរទាំងអស់មកយ៉ាងឆាប់រហ័ស មិនចាំបាច់រង់ចាំច្រើនម៉ោងនោះទេ។

ងាយស្រួល REST API ។ យើងក៏បានចាត់ទុក Apache ZooKeeper ផងដែរ ប៉ុន្តែវាមិនមាន REST API ទេ ដូច្នេះអ្នកនឹងត្រូវដំឡើងឈើច្រត់។

ធ្វើការជា Key Vault (KV) និង Directory (Service Discovery). អ្នកអាចរក្សាទុកសេវាកម្ម កាតាឡុក និងមជ្ឈមណ្ឌលទិន្នន័យក្នុងពេលតែមួយ។ នេះងាយស្រួលមិនត្រឹមតែសម្រាប់យើងប៉ុណ្ណោះទេ ប៉ុន្តែសម្រាប់ក្រុមជិតខាងផងដែរ ពីព្រោះនៅពេលសាងសង់សេវាកម្មសកល យើងគិតធំ។

សរសេរនៅក្នុង Go ដែលជាផ្នែកមួយនៃជង់ Wargaming ។ យើងស្រលាញ់ភាសានេះ យើងមានអ្នកអភិវឌ្ឍន៍ Go ជាច្រើន។

ប្រព័ន្ធ ACL ដ៏មានឥទ្ធិពល។ នៅក្នុងកុងស៊ុល អ្នកអាចប្រើ ACLs ដើម្បីគ្រប់គ្រងថាអ្នកណាសរសេរអ្វី។ យើងធានាថាច្បាប់ជញ្ជាំងភ្លើងនឹងមិនត្រួតលើគ្នាជាមួយអ្វីផ្សេងទៀតទេ ហើយយើងនឹងមិនមានបញ្ហាជាមួយបញ្ហានេះទេ។

ប៉ុន្តែកុងស៊ុលក៏មានគុណវិបត្តិរបស់វាដែរ។

• មិនធ្វើមាត្រដ្ឋាននៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យទេ លុះត្រាតែអ្នកមានកំណែអាជីវកម្ម។ វាត្រូវបានធ្វើមាត្រដ្ឋានដោយសហព័ន្ធតែប៉ុណ្ណោះ។
• ពឹងផ្អែកយ៉ាងខ្លាំងទៅលើគុណភាពនៃបណ្តាញ និងការផ្ទុកម៉ាស៊ីនមេ។ កុងស៊ុលនឹងមិនដំណើរការត្រឹមត្រូវក្នុងនាមជាម៉ាស៊ីនមេនៅលើម៉ាស៊ីនមេដែលរវល់ទេ ប្រសិនបើមានភាពយឺតយ៉ាវក្នុងបណ្តាញ ឧទាហរណ៍ ល្បឿនមិនស្មើគ្នា។ នេះគឺដោយសារតែការតភ្ជាប់ P2P និងការធ្វើបច្ចុប្បន្នភាពគំរូចែកចាយ។
• ភាពអាចរកបាននៃការត្រួតពិនិត្យការលំបាក. ក្នុង​ឋានៈ​កុងស៊ុល គាត់​អាច​និយាយ​បាន​ថា​អ្វីៗ​គឺ​ល្អ ប៉ុន្តែ​គាត់​បាន​ស្លាប់​យូរ​ហើយ​។

យើងបានដោះស្រាយបញ្ហាទាំងនេះភាគច្រើននៅពេលប្រើប្រាស់កុងស៊ុល ដែលជាមូលហេតុដែលយើងជ្រើសរើសវា។ ក្រុមហ៊ុនមានផែនការសម្រាប់ជម្រើសខាងក្រោយ ប៉ុន្តែយើងបានរៀនដោះស្រាយបញ្ហា ហើយបច្ចុប្បន្នកំពុងរស់នៅជាមួយកុងស៊ុល។

របៀបដែលកុងស៊ុលធ្វើការ

យើងនឹងដំឡើងម៉ាស៊ីនមេពី 3 ទៅ 5 នៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យតាមលក្ខខណ្ឌ។ ម៉ាស៊ីនមេមួយ ឬពីរនឹងមិនដំណើរការទេ៖ ពួកគេនឹងមិនអាចរៀបចំកូរ៉ុម ហើយសម្រេចចិត្តថាអ្នកណាត្រូវ និងអ្នកណាខុស នៅពេលទិន្នន័យមិនត្រូវគ្នា។ ច្រើនជាងប្រាំគ្មានន័យទេ ផលិតភាពនឹងធ្លាក់ចុះ។

អតិថិជនភ្ជាប់ទៅម៉ាស៊ីនមេតាមលំដាប់ណាមួយ៖ ភ្នាក់ងារដូចគ្នា មានតែទង់ជាតិប៉ុណ្ណោះ។ server = false.

បន្ទាប់ពីនេះ អតិថិជនទទួលបានបញ្ជីនៃការតភ្ជាប់ P2P និងបង្កើតការតភ្ជាប់រវាងពួកគេ។

នៅកម្រិតសកល យើងភ្ជាប់មជ្ឈមណ្ឌលទិន្នន័យជាច្រើន។ ពួកគេក៏ភ្ជាប់ P2P និងទំនាក់ទំនងផងដែរ។

នៅពេលដែលយើងចង់ទាញយកទិន្នន័យពីមជ្ឈមណ្ឌលទិន្នន័យផ្សេងទៀត សំណើរទៅពីម៉ាស៊ីនមេទៅម៉ាស៊ីនមេ។ គ្រោងការណ៍នេះត្រូវបានគេហៅថា ពិធីការ Serf. ពិធីការ Serf ដូចជា Consul ត្រូវបានបង្កើតឡើងដោយ HashiCorp ។

ការពិតសំខាន់ៗមួយចំនួនអំពីកុងស៊ុល

កុងស៊ុលមានឯកសារពិពណ៌នាអំពីរបៀបដែលវាដំណើរការ។ ខ្ញុំនឹងផ្តល់ឱ្យតែការពិតដែលបានជ្រើសរើសដែលមានតម្លៃដឹង។

ម៉ាស៊ីនមេកុងស៊ុលជ្រើសរើសមេពីក្នុងចំណោមអ្នកបោះឆ្នោត. កុងស៊ុលជ្រើសរើសមេពីបញ្ជីម៉ាស៊ីនមេសម្រាប់មជ្ឈមណ្ឌលទិន្នន័យនីមួយៗ ហើយសំណើទាំងអស់ទៅវាតែប៉ុណ្ណោះ ដោយមិនគិតពីចំនួនម៉ាស៊ីនមេ។ ការបង្កកមេមិននាំទៅរកការបោះឆ្នោតឡើងវិញទេ។ ប្រសិនបើមេមិនត្រូវបានជ្រើសរើស សំណើមិនត្រូវបានផ្តល់សេវាដោយនរណាម្នាក់ឡើយ។

តើអ្នកចង់ធ្វើមាត្រដ្ឋានផ្ដេកទេ? សុំទោស ទេ។

សំណើទៅកាន់មជ្ឈមណ្ឌលទិន្នន័យមួយផ្សេងទៀតគឺពីមេទៅមេ ដោយមិនគិតពីម៉ាស៊ីនមេណាមួយដែលវាមក។ មេដែលបានជ្រើសរើសទទួលបាន 100% នៃបន្ទុក លើកលែងតែបន្ទុកលើសំណើបញ្ជូនបន្ត។ ម៉ាស៊ីនមេទាំងអស់នៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យមានច្បាប់ចម្លងទិន្នន័យទាន់សម័យ ប៉ុន្តែមានតែមួយប៉ុណ្ណោះដែលឆ្លើយតប។

មធ្យោបាយតែមួយគត់ដើម្បីធ្វើមាត្រដ្ឋានគឺត្រូវបើករបៀប stale នៅលើម៉ាស៊ីនភ្ញៀវ។

ក្នុង​ទម្រង់​ជាប់គាំង អ្នក​អាច​ឆ្លើយតប​ដោយ​គ្មាន​កូរ៉ុម។ នេះគឺជារបៀបមួយដែលយើងបោះបង់ភាពស៊ីសង្វាក់គ្នានៃទិន្នន័យ ប៉ុន្តែអានលឿនជាងធម្មតាបន្តិច ហើយម៉ាស៊ីនមេណាមួយឆ្លើយតប។ តាមធម្មជាតិ ថតតែតាមរយៈមេ។

កុងស៊ុលមិនចម្លងទិន្នន័យរវាងមជ្ឈមណ្ឌលទិន្នន័យទេ។. នៅពេលដែលសហព័ន្ធត្រូវបានប្រមូលផ្តុំ នោះម៉ាស៊ីនមេនីមួយៗនឹងមានតែទិន្នន័យផ្ទាល់ខ្លួនប៉ុណ្ណោះ។ សម្រាប់អ្នកផ្សេងទៀត គាត់តែងតែងាកទៅរកអ្នកផ្សេង។

អាតូមិចនៃប្រតិបត្តិការមិនត្រូវបានធានាក្រៅពីប្រតិបត្តិការទេ។. សូមចងចាំថាអ្នកមិនមែនជាមនុស្សតែម្នាក់ដែលអាចផ្លាស់ប្តូរអ្វីៗបាននោះទេ។ ប្រសិនបើអ្នកចង់បានវាខុសគ្នា ធ្វើប្រតិបត្តិការជាមួយសោ។

ប្រតិបត្តិការទប់ស្កាត់មិនធានាការចាក់សោទេ។. សំណើនេះដំណើរការពីមេមួយទៅមេ ហើយមិនមែនដោយផ្ទាល់ទេ ដូច្នេះមិនមានការធានាថាការទប់ស្កាត់នឹងដំណើរការទេ នៅពេលអ្នកទប់ស្កាត់ ឧទាហរណ៍នៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យមួយផ្សេងទៀត។

ACL ក៏មិនធានាការចូលប្រើដែរ (ក្នុងករណីជាច្រើន). ACL ប្រហែលជាមិនដំណើរការទេព្រោះវាត្រូវបានរក្សាទុកនៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យសហព័ន្ធតែមួយ - នៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យ ACL (Primary DC)។ ប្រសិនបើ DC មិនឆ្លើយអ្នកទេ ACL នឹងមិនដំណើរការទេ។

មេដែលបង្កកមួយនឹងធ្វើឱ្យសហព័ន្ធទាំងមូលបង្កក. ឧទាហរណ៍ មានមជ្ឈមណ្ឌលទិន្នន័យចំនួន 10 នៅក្នុងសហព័ន្ធ ហើយមួយមានបណ្តាញមិនល្អ ហើយមេមួយបរាជ័យ។ អ្នក​រាល់​គ្នា​ដែល​ទាក់ទង​នឹង​គាត់​នឹង​បង្កក​ជា​រង្វង់៖ មាន​ការ​ស្នើ​សុំ គ្មាន​ចម្លើយ​ចំពោះ​វា ខ្សែ​ស្រឡាយ​នឹង​បង្កក។ គ្មាន​ផ្លូវ​ដឹង​ថា​វា​នឹង​កើត​ឡើង​នៅ​ពេល​ណា​នោះ​ទេ គឺ​ត្រឹម​តែ​មួយ​ម៉ោង ឬ​ពីរ​ម៉ោង​ប៉ុណ្ណោះ សហព័ន្ធ​ទាំង​មូល​នឹង​ធ្លាក់​ចុះ។ មិនមានអ្វីដែលអ្នកអាចធ្វើបានអំពីវាទេ។

ស្ថានភាព កូរ៉ុម និងការបោះឆ្នោតត្រូវបានគ្រប់គ្រងដោយខ្សែស្រឡាយដាច់ដោយឡែក។ ការបោះឆ្នោតឡើងវិញនឹងមិនកើតឡើងទេ ស្ថានភាពនឹងមិនបង្ហាញអ្វីទាំងអស់។ អ្នកគិតថាអ្នកមានកុងស៊ុលផ្ទាល់អ្នកសួរហើយគ្មានអ្វីកើតឡើងទេ - មិនមានចម្លើយទេ។ ទន្ទឹមនឹងនេះស្ថានភាពបង្ហាញថាអ្វីគ្រប់យ៉ាងគឺល្អ។

យើងបានជួបប្រទះបញ្ហានេះ ហើយត្រូវបង្កើតផ្នែកជាក់លាក់នៃមជ្ឈមណ្ឌលទិន្នន័យឡើងវិញ ដើម្បីជៀសវាងបញ្ហានេះ។

កំណែអាជីវកម្មរបស់សហគ្រាសកុងស៊ុលមិនមានគុណវិបត្តិមួយចំនួនខាងលើទេ។. វាមានមុខងារមានប្រយោជន៍ជាច្រើន៖ ការជ្រើសរើសអ្នកបោះឆ្នោត ការចែកចាយ ការធ្វើមាត្រដ្ឋាន។ មានតែមួយ "ប៉ុន្តែ" - ប្រព័ន្ធអាជ្ញាប័ណ្ណសម្រាប់ប្រព័ន្ធចែកចាយមានតម្លៃថ្លៃណាស់។

ជីវិតការលួចស្តាប់: rm -rf /var/lib/consul - ព្យាបាលជំងឺទាំងអស់របស់ភ្នាក់ងារ។ ប្រសិនបើមានអ្វីមួយមិនដំណើរការសម្រាប់អ្នក គ្រាន់តែលុបទិន្នន័យរបស់អ្នក ហើយទាញយកទិន្នន័យពីច្បាប់ចម្លង។ ភាគច្រើនទំនងជាកុងស៊ុលនឹងធ្វើការ។

BEFW

ឥឡូវនេះសូមនិយាយអំពីអ្វីដែលយើងបានបន្ថែមទៅកុងស៊ុល។

BEFW គឺជាអក្សរកាត់សម្រាប់ BackEndFអាយWទាំងអស់។ ខ្ញុំត្រូវដាក់ឈ្មោះផលិតផលនៅពេលខ្ញុំបង្កើតឃ្លាំង ដើម្បីដាក់ការប្តេជ្ញាចិត្តសាកល្បងដំបូងទៅក្នុងវា។ ឈ្មោះនេះនៅតែមាន។

គំរូច្បាប់

ច្បាប់ត្រូវបានសរសេរជាវាក្យសម្ព័ន្ធ iptables ។

• -N BEFW
• -P បញ្ចូលការទម្លាក់
• - រដ្ឋបញ្ចូល -m - រដ្ឋដែលទាក់ទង, បង្កើតឡើង -j ទទួលយក
• -A បញ្ចូល -i lo -j យល់ព្រម
• - ធាតុបញ្ចូល -j BEFW

អ្វីគ្រប់យ៉ាងចូលទៅក្នុងខ្សែសង្វាក់ BEFW លើកលែងតែ ESTABLISHED, RELATED និង localhost ។ គំរូអាចជាអ្វីក៏បាន នេះគ្រាន់តែជាឧទាហរណ៍ប៉ុណ្ណោះ។

តើ BEFW មានប្រយោជន៍យ៉ាងដូចម្តេច?

សេវាកម្ម

យើង​មាន​សេវា វា​តែង​តែ​មាន​ច្រក​មួយ ថ្នាំង​ដែល​វា​ដំណើរការ។ ពីថ្នាំងរបស់យើង យើងអាចសួរភ្នាក់ងារក្នុងស្រុក និងដឹងថាយើងមានសេវាកម្មប្រភេទខ្លះ។ អ្នកក៏អាចដាក់ស្លាកផងដែរ។

សេវាកម្មណាមួយដែលកំពុងដំណើរការ និងចុះឈ្មោះជាមួយកុងស៊ុល ប្រែទៅជាច្បាប់ iptables ។ យើងមាន SSH - ច្រកបើកចំហ 22. ស្គ្រីប Bash គឺសាមញ្ញ: curl និង iptables គ្មានអ្វីផ្សេងទៀតដែលត្រូវការ។

អតិថិជន

តើធ្វើដូចម្តេចដើម្បីបើកការចូលប្រើមិនមែនសម្រាប់មនុស្សគ្រប់គ្នា, ប៉ុន្តែជ្រើសរើស? បន្ថែមបញ្ជី IP ទៅការផ្ទុក KV តាមឈ្មោះសេវាកម្ម។

ជាឧទាហរណ៍ យើងចង់ឱ្យអ្នកគ្រប់គ្នានៅលើបណ្តាញទីដប់អាចចូលប្រើសេវាកម្ម SSH_TCP_22។ បន្ថែមវាល TTL តូចមួយ? ហើយឥឡូវនេះ យើងមានការអនុញ្ញាតបណ្តោះអាសន្ន ជាឧទាហរណ៍ សម្រាប់មួយថ្ងៃ។

ការចូលប្រើ

យើងភ្ជាប់សេវាកម្ម និងអតិថិជន៖ យើងមានសេវាកម្ម កន្លែងផ្ទុក KV រួចរាល់សម្រាប់នីមួយៗ។ ឥឡូវនេះ យើងផ្តល់សិទ្ធិចូលប្រើមិនមែនសម្រាប់មនុស្សគ្រប់គ្នាទេ ប៉ុន្តែជាជម្រើស។

ក្រុម

ប្រសិនបើយើងសរសេរ IPs រាប់ពាន់សម្រាប់ការចូលប្រើរាល់ពេល យើងនឹងអស់កម្លាំង។ តោះមកជាមួយការដាក់ជាក្រុម - សំណុំរងដាច់ដោយឡែកនៅក្នុង KV ។ ចូរហៅវាថា Alias ​​​​(ឬក្រុម) ហើយរក្សាទុកក្រុមនៅទីនោះតាមគោលការណ៍ដូចគ្នា។

សូមភ្ជាប់៖ ឥឡូវនេះយើងអាចបើក SSH មិនមែនសម្រាប់ P2P ទេ ប៉ុន្តែសម្រាប់ក្រុមទាំងមូល ឬក្រុមជាច្រើន។ តាមរបៀបដូចគ្នាមាន TTL - អ្នកអាចបន្ថែមទៅក្រុមហើយដកចេញពីក្រុមជាបណ្តោះអាសន្ន។

សមាហរណកម្ម

បញ្ហារបស់យើងគឺកត្តាមនុស្ស និងស្វ័យប្រវត្តិកម្ម។ រហូត​មក​ដល់​ពេល​នេះ យើង​បាន​ដោះស្រាយ​វា​តាម​វិធី​នេះ។

យើងធ្វើការជាមួយ Puppet ហើយផ្ទេរអ្វីគ្រប់យ៉ាងដែលទាក់ទងនឹងប្រព័ន្ធ (កូដកម្មវិធី) ទៅពួកគេ។ Puppetdb (PostgreSQL ធម្មតា) រក្សាទុកបញ្ជីសេវាកម្មដែលកំពុងដំណើរការនៅទីនោះ ពួកគេអាចត្រូវបានរកឃើញតាមប្រភេទធនធាន។ នៅទីនោះអ្នកអាចដឹងថាអ្នកណាកំពុងដាក់ពាក្យនៅកន្លែងណា។ យើង​ក៏​មាន​ប្រព័ន្ធ​សំណើ​ទាញ​និង​បញ្ចូល​គ្នា​សម្រាប់​វា​ដែរ។

យើងបានសរសេរ befw-sync ដែលជាដំណោះស្រាយសាមញ្ញដែលជួយផ្ទេរទិន្នន័យ។ ជាដំបូង ធ្វើសមកាលកម្មខូគីត្រូវបានចូលប្រើដោយ puppetdb ។ HTTP API ត្រូវ​បាន​កំណត់​រចនាសម្ព័ន្ធ​នៅ​ទីនោះ៖ យើង​ស្នើសុំ​សេវាកម្ម​ណា​ដែល​យើង​មាន អ្វី​ដែល​ត្រូវ​ធ្វើ។ បន្ទាប់​មក​គេ​ធ្វើ​សំណើ​ទៅ​កុងស៊ុល។

តើមានការរួមបញ្ចូលទេ? បាទ / ចាស៖ ពួកគេបានសរសេរច្បាប់ ហើយអនុញ្ញាតឱ្យ Pull Requests ត្រូវបានទទួលយក។ តើអ្នកត្រូវការច្រកជាក់លាក់ ឬបន្ថែមម៉ាស៊ីនទៅក្រុមខ្លះទេ? ទាញសំណើ ពិនិត្យ - លែង "ស្វែងរក ACLs 200 ផ្សេងទៀត ហើយព្យាយាមធ្វើអ្វីមួយអំពីវា" ។

ការបង្កើនប្រសិទ្ធភាព

Pinging localhost ជាមួយនឹងខ្សែសង្វាក់ច្បាប់ទទេចំណាយពេល 0,075 ms ។

តោះបន្ថែមអាសយដ្ឋាន iptables 10 ទៅខ្សែសង្វាក់នេះ។ ជាលទ្ធផល ping នឹងកើនឡើង 000 ដង៖ iptables គឺលីនេអ៊ែរទាំងស្រុង ការដំណើរការអាសយដ្ឋាននីមួយៗត្រូវចំណាយពេលខ្លះ។

សម្រាប់ជញ្ជាំងភ្លើងដែលយើងធ្វើចំណាកស្រុករាប់ពាន់ ACL យើងមានច្បាប់ជាច្រើន ហើយនេះណែនាំភាពយឺតយ៉ាវ។ នេះគឺអាក្រក់សម្រាប់ពិធីការហ្គេម។

ប៉ុន្តែប្រសិនបើយើងដាក់ អាសយដ្ឋាន 10 នៅក្នុង ipset ភីងនឹងថយចុះ។

ចំនុចនោះគឺថា "O" (ភាពស្មុគស្មាញនៃក្បួនដោះស្រាយ) សម្រាប់ ipset គឺតែងតែស្មើនឹង 1 មិនថាមានក្បួនប៉ុន្មានទេ។ ពិត មានដែនកំណត់ - មិនអាចលើសពី 65535 ច្បាប់ទេ។ សម្រាប់ពេលនេះ យើងរស់នៅជាមួយនេះ៖ អ្នកអាចផ្សំពួកវា ពង្រីកពួកវា បង្កើត ipsets ពីរក្នុងមួយ។

ឧបករណ៍ផ្ទុក

ការបន្តតក្កវិជ្ជានៃដំណើរការដដែលៗគឺការរក្សាទុកព័ត៌មានអំពីអតិថិជនសម្រាប់សេវាកម្មនៅក្នុង ipset ។

ឥឡូវនេះយើងមាន SSH ដូចគ្នា ហើយយើងមិនសរសេរ 100 IPs ក្នុងពេលតែមួយទេ ប៉ុន្តែកំណត់ឈ្មោះ ipset ដែលយើងត្រូវទំនាក់ទំនង និងច្បាប់ខាងក្រោម DROP. វាអាចត្រូវបានបំប្លែងទៅជាច្បាប់មួយ “អ្នកណាមិននៅទីនេះ DROP” ប៉ុន្តែវាកាន់តែច្បាស់។

ឥឡូវនេះយើងមានច្បាប់និងសំណុំ។ ភារកិច្ចចម្បងគឺបង្កើតសំណុំមួយមុនពេលសរសេរច្បាប់ពីព្រោះបើមិនដូច្នេះទេ iptables នឹងមិនសរសេរច្បាប់ទេ។

គ្រោងការណ៍ទូទៅ

នៅក្នុងទម្រង់នៃដ្យាក្រាម អ្វីគ្រប់យ៉ាងដែលខ្ញុំបាននិយាយមើលទៅដូចនេះ។

យើងប្តេជ្ញាចិត្តជាមួយ Puppet អ្វីគ្រប់យ៉ាងត្រូវបានផ្ញើទៅកាន់ម៉ាស៊ីន សេវាកម្មនៅទីនេះ ipset នៅទីនោះ ហើយអ្នកណាដែលមិនបានចុះឈ្មោះនៅទីនោះ មិនត្រូវបានអនុញ្ញាតទេ។

អនុញ្ញាត & បដិសេធ

ដើម្បី​សង្គ្រោះ​ពិភពលោក​ឱ្យ​បាន​លឿន ឬ​បិទ​នរណា​ម្នាក់​យ៉ាង​ឆាប់​រហ័ស នៅ​ដើម​ខ្សែ​សង្វាក់​ទាំង​អស់ យើង​បាន​បង្កើត ipsets ពីរ៖ rules_allow и rules_deny. តើវាដំណើរការយ៉ាងដូចម្តេច?

ឧទាហរណ៍ នរណាម្នាក់កំពុងបង្កើតការផ្ទុកនៅលើគេហទំព័ររបស់យើងជាមួយនឹង bots ។ ពីមុនអ្នកត្រូវស្វែងរក IP របស់គាត់ពីកំណត់ហេតុ យកវាទៅវិស្វករបណ្តាញដើម្បីឱ្យពួកគេអាចស្វែងរកប្រភពនៃចរាចរ និងហាមឃាត់គាត់។ វាមើលទៅខុសគ្នាឥឡូវនេះ។

យើងផ្ញើវាទៅកុងស៊ុល រង់ចាំ 2,5 វិនាទី ហើយវារួចរាល់។ ចាប់តាំងពីកុងស៊ុលចែកចាយយ៉ាងឆាប់រហ័សតាមរយៈ P2P វាដំណើរការនៅគ្រប់ទីកន្លែងក្នុងផ្នែកណាមួយនៃពិភពលោក។

នៅពេលដែលខ្ញុំបានបញ្ឈប់ WOT ទាំងស្រុងដោយសារតែកំហុសជាមួយជញ្ជាំងភ្លើង។ rules_allow - នេះគឺជាការធានារ៉ាប់រងរបស់យើងប្រឆាំងនឹងករណីបែបនេះ។ ប្រសិនបើយើងធ្វើខុសនៅកន្លែងណាមួយជាមួយជញ្ជាំងភ្លើង អ្វីមួយត្រូវបានរារាំងនៅកន្លែងណាមួយ យើងអាចផ្ញើតាមលក្ខខណ្ឌបានជានិច្ច 0.0/0ដើម្បី​យក​អ្វី​គ្រប់​យ៉ាង​យ៉ាង​ឆាប់​រហ័ស។ ក្រោយមកយើងនឹងជួសជុលអ្វីៗគ្រប់យ៉ាងដោយដៃ។

ឈុតផ្សេងទៀត។

អ្នកអាចបន្ថែមឈុតផ្សេងទៀតក្នុងលំហ $IPSETS$.

ដើម្បីអ្វី? ពេលខ្លះនរណាម្នាក់ត្រូវការ ipset ជាឧទាហរណ៍ ដើម្បីត្រាប់តាមការបិទផ្នែកខ្លះនៃចង្កោម។ អ្នក​ណា​ក៏​អាច​យក​ឈុត​ណា​មួយ​មក​ដាក់​ឈ្មោះ ហើយ​ពួក​គេ​នឹង​ត្រូវ​បាន​ទទួល​ពី​កុងស៊ុល។ ក្នុងពេលជាមួយគ្នានោះ ឈុតអាចចូលរួមនៅក្នុងច្បាប់ iptables ឬដើរតួជាក្រុម NOOP៖ ភាពជាប់លាប់នឹងត្រូវបានរក្សាទុកដោយដេមិន។

អ្នកប្រើប្រាស់។

ពីមុនវាគឺដូចនេះ: អ្នកប្រើប្រាស់បានភ្ជាប់ទៅបណ្តាញនិងទទួលបានប៉ារ៉ាម៉ែត្រតាមរយៈដែន។ មុនពេលការមកដល់នៃជញ្ជាំងភ្លើងជំនាន់ថ្មី Cisco មិនដឹងពីរបៀបយល់ថាតើអ្នកប្រើប្រាស់នៅឯណា និង IP នៅឯណានោះទេ។ ដូច្នេះ ការចូលប្រើត្រូវបានផ្តល់តែតាមរយៈឈ្មោះម៉ាស៊ីនរបស់ម៉ាស៊ីនប៉ុណ្ណោះ។

តើយើងបានធ្វើអ្វី? យើងជាប់គាំងនៅពេលយើងទទួលបានអាសយដ្ឋាន។ ជាធម្មតានេះគឺជា dot1x, Wi-Fi ឬ VPN - អ្វីគ្រប់យ៉ាងឆ្លងកាត់ RADIUS ។ សម្រាប់អ្នកប្រើប្រាស់ម្នាក់ៗ យើងបង្កើតក្រុមតាមឈ្មោះអ្នកប្រើប្រាស់ ហើយដាក់ IP ទៅក្នុងវាជាមួយ TTL ដែលស្មើនឹង dhcp.lease របស់វា - ដរាបណាវាផុតកំណត់ ច្បាប់នឹងរលាយបាត់។

ឥឡូវនេះយើងអាចបើកការចូលប្រើសេវាកម្មដូចជាក្រុមផ្សេងទៀតដោយឈ្មោះអ្នកប្រើប្រាស់។ យើងបានដកការឈឺចាប់ចេញពីឈ្មោះម៉ាស៊ីន នៅពេលដែលពួកគេផ្លាស់ប្តូរ ហើយយើងបានដកបន្ទុកចេញពីវិស្វករបណ្តាញ ដោយសារពួកគេលែងត្រូវការ Cisco ទៀតហើយ។ ឥឡូវនេះវិស្វករខ្លួនឯងចុះឈ្មោះចូលប្រើនៅលើម៉ាស៊ីនមេរបស់ពួកគេ។

អ៊ីសូឡង់

ក្នុងពេលជាមួយគ្នានេះយើងចាប់ផ្តើមរុះរើអ៊ីសូឡង់។ អ្នកគ្រប់គ្រងសេវាកម្មបានយកបញ្ជីសារពើភណ្ឌ ហើយយើងបានវិភាគបណ្តាញទាំងអស់របស់យើង។ ចូរបែងចែកពួកវាទៅជាក្រុមដូចគ្នា ហើយនៅលើម៉ាស៊ីនមេចាំបាច់ ក្រុមត្រូវបានបន្ថែមឧទាហរណ៍ដើម្បីបដិសេធ។ ឥឡូវនេះ ភាពឯកោដំណាក់កាលដូចគ្នាបញ្ចប់នៅក្នុងច្បាប់_ការបដិសេធនៃការផលិត ប៉ុន្តែមិនមែននៅក្នុងផលិតកម្មខ្លួនឯងនោះទេ។

គ្រោងការណ៍នេះដំណើរការយ៉ាងរហ័ស និងសាមញ្ញ៖ យើងដក ACLs ទាំងអស់ចេញពីម៉ាស៊ីនមេ ដកផ្នែករឹង និងកាត់បន្ថយចំនួន VLAN ដាច់ដោយឡែក។

ការត្រួតពិនិត្យសុចរិតភាព

កាលពីមុន យើងមានគន្លឹះពិសេសមួយដែលបានរាយការណ៍នៅពេលដែលនរណាម្នាក់បានផ្លាស់ប្តូរច្បាប់ជញ្ជាំងភ្លើងដោយដៃ។ ខ្ញុំកំពុងសរសេរ linter ដ៏ធំមួយសម្រាប់ពិនិត្យមើលច្បាប់ជញ្ជាំងភ្លើង វាពិបាកណាស់។ ឥឡូវនេះ ភាពសុចរិតត្រូវបានគ្រប់គ្រងដោយ BEFW ។ គាត់ធានាយ៉ាងខ្នះខ្នែងថាច្បាប់ដែលគាត់ធ្វើមិនផ្លាស់ប្តូរទេ។ ប្រសិនបើនរណាម្នាក់ផ្លាស់ប្តូរច្បាប់ជញ្ជាំងភ្លើង វានឹងផ្លាស់ប្តូរអ្វីៗទាំងអស់មកវិញ។ "ខ្ញុំបានដំឡើងប្រូកស៊ីយ៉ាងឆាប់រហ័ស ដូច្នេះខ្ញុំអាចធ្វើការពីផ្ទះបាន"—មិនមានជម្រើសបែបនេះទៀតទេ។

BEFW គ្រប់គ្រង ipset ពីសេវាកម្ម និងបញ្ជីនៅក្នុង befw.conf ដែលជាច្បាប់នៃសេវាកម្មនៅក្នុងខ្សែសង្វាក់ BEFW ។ ប៉ុន្តែវាមិនត្រួតពិនិត្យខ្សែសង្វាក់ និងច្បាប់ និង ipset ផ្សេងទៀតទេ។

ការការពារការគាំង

BEFW តែងតែរក្សាទុកនូវស្ថានភាពល្អដែលគេស្គាល់ចុងក្រោយដោយផ្ទាល់នៅក្នុងរចនាសម្ព័ន្ធគោលពីរ state.bin ។ ប្រសិនបើមានអ្វីមួយខុស វាតែងតែវិលត្រលប់ទៅ state.bin នេះ។

នេះគឺជាការធានារ៉ាប់រងប្រឆាំងនឹងប្រតិបត្តិការកុងស៊ុលដែលមិនស្ថិតស្ថេរ នៅពេលដែលវាមិនបានផ្ញើទិន្នន័យ ឬនរណាម្នាក់បានធ្វើខុស និងប្រើច្បាប់ដែលមិនអាចអនុវត្តបាន។ ដើម្បីធានាថាយើងមិនត្រូវបានទុកចោលដោយគ្មានជញ្ជាំងភ្លើងទេ BEFW នឹងត្រលប់ទៅស្ថានភាពចុងក្រោយវិញប្រសិនបើមានកំហុសកើតឡើងនៅដំណាក់កាលណាមួយ។

ក្នុងស្ថានភាពធ្ងន់ធ្ងរ នេះគឺជាការធានាថាយើងនឹងនៅសល់ជញ្ជាំងភ្លើងដែលកំពុងដំណើរការ។ យើងបើកបណ្តាញពណ៌ប្រផេះទាំងអស់ដោយសង្ឃឹមថាអ្នកគ្រប់គ្រងនឹងមកជួសជុលវា។ ថ្ងៃណាមួយខ្ញុំនឹងដាក់វានៅក្នុងការកំណត់ ប៉ុន្តែឥឡូវនេះយើងគ្រាន់តែមានបណ្តាញប្រផេះចំនួនបីប៉ុណ្ណោះ៖ 10/8, 172/12 និង 192.168/16។ នៅក្នុងកុងស៊ុលរបស់យើង នេះគឺជាលក្ខណៈពិសេសដ៏សំខាន់ដែលជួយយើងអភិវឌ្ឍបន្ថែមទៀត។

ការបង្ហាញ៖ ក្នុងអំឡុងពេលរបាយការណ៍ អ៊ីវ៉ាន បង្ហាញរបៀបសាកល្បងនៃ BEFW ។ វាកាន់តែងាយស្រួលមើលការបង្ហាញ видео. កូដប្រភពសាកល្បងអាចប្រើបាន នៅលើ GitHub.

ចំនុចគ្រោះថ្នាក់

ខ្ញុំនឹងប្រាប់អ្នកអំពីកំហុសដែលយើងជួបប្រទះ។

ipset បន្ថែមសំណុំ 0.0.0.0/0 ។ តើមានអ្វីកើតឡើងប្រសិនបើអ្នកបន្ថែម 0.0.0.0/0 ទៅ ipset? តើ IP ទាំងអស់នឹងត្រូវបានបន្ថែមទេ? តើការចូលប្រើអ៊ីនធឺណិតនឹងមានទេ?

ទេ យើង​នឹង​ទទួល​បាន​កំហុស​ដែល​ធ្វើ​ឱ្យ​យើង​អស់​ពេល​ពីរ​ម៉ោង។ លើសពីនេះទៅទៀត កំហុសមិនដំណើរការតាំងពីឆ្នាំ 2016 វាមានទីតាំងនៅ RedHat Bugzilla ក្រោមលេខ #1297092 ហើយយើងបានរកឃើញវាដោយចៃដន្យ - ពីរបាយការណ៍របស់អ្នកអភិវឌ្ឍន៍។

ឥឡូវនេះវាគឺជាច្បាប់ដ៏តឹងរឹងនៅ BEFW នោះ។ 0.0.0.0/0 ប្រែទៅជាអាសយដ្ឋានពីរ៖ 0.0.0.0/1 и 128.0.0.0/1.

ipset restore set < file. តើ ipset ធ្វើអ្វីនៅពេលអ្នកប្រាប់វាទៅ restore? តើអ្នកគិតថាវាដំណើរការដូចគ្នានឹង iptables ដែរឬទេ? តើវានឹងសង្គ្រោះទិន្នន័យបានទេ?

គ្មានអ្វីដូចនោះទេ - វារួមបញ្ចូលគ្នា ហើយអាសយដ្ឋានចាស់មិនទៅណាទេ អ្នកមិនរារាំងការចូលប្រើទេ។

យើងបានរកឃើញកំហុសនៅពេលធ្វើតេស្តភាពឯកោ។ ឥឡូវនេះមានប្រព័ន្ធស្មុគស្មាញ - ជំនួសឱ្យ restore បានប្រារព្ធឡើង create tempបន្ទាប់មក restore flush temp и restore temp. នៅចុងបញ្ចប់នៃ swap: សម្រាប់អាតូមិចព្រោះប្រសិនបើអ្នកធ្វើវាមុន។ flush ហើយនៅពេលនេះ កញ្ចប់ព័ត៌មានខ្លះមកដល់ វានឹងត្រូវបោះចោល ហើយមានអ្វីមួយខុសប្រក្រតី។ ដូច្នេះ មានវេទមន្តខ្មៅបន្តិចនៅទីនោះ។

កុងស៊ុល kv ទទួលបាន -datacenter=ផ្សេងទៀត។ ដូចដែលខ្ញុំបាននិយាយ យើងគិតថាយើងកំពុងស្នើសុំទិន្នន័យមួយចំនួន ប៉ុន្តែយើងនឹងទទួលទិន្នន័យ ឬមានកំហុស។ យើងអាចធ្វើវាតាមរយៈកុងស៊ុលក្នុងស្រុក ប៉ុន្តែក្នុងករណីនេះទាំងពីរនឹងបង្កក។

ម៉ាស៊ីនភ្ញៀវកុងស៊ុលក្នុងស្រុកគឺជាអ្នករុំលើ HTTP API ។ ប៉ុន្តែវាគ្រាន់តែព្យួរ ហើយមិនឆ្លើយតបទៅនឹង Ctrl+C ឬ Ctrl+Z ឬអ្វីទាំងអស់ តែប៉ុណ្ណោះ kill -9 នៅក្នុងកុងសូលបន្ទាប់។ យើងបានជួបប្រទះវានៅពេលដែលយើងកំពុងសាងសង់ចង្កោមធំមួយ។ ប៉ុន្តែ​យើង​មិន​ទាន់​មាន​ដំណោះស្រាយ​នៅ​ឡើយ​ទេ យើង​កំពុង​រៀបចំ​ដើម្បី​ជួសជុល​កំហុស​នេះ​នៅ​កុងស៊ុល។

ប្រធានកុងស៊ុលមិនឆ្លើយតបទេ។ មេរបស់យើងនៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យមិនឆ្លើយតបទេ យើងគិតថា៖ "ប្រហែលជាក្បួនដោះស្រាយការជ្រើសរើសឡើងវិញនឹងដំណើរការឥឡូវនេះ?"

ទេ វានឹងមិនដំណើរការទេ ហើយការត្រួតពិនិត្យនឹងមិនបង្ហាញអ្វីទាំងអស់៖ កុងស៊ុលនឹងនិយាយថាមានសន្ទស្សន៍ការប្តេជ្ញាចិត្ត អ្នកដឹកនាំត្រូវបានរកឃើញ អ្វីគ្រប់យ៉ាងគឺល្អ។

តើ​យើង​ដោះស្រាយ​បញ្ហា​នេះ​ដោយ​របៀប​ណា? service consul restart ក្នុង cron រៀងរាល់ម៉ោង។ ប្រសិនបើអ្នកមាន 50 servers វាមិនមែនជារឿងធំទេ។ នៅពេលដែលមាន 16 នៃពួកគេ អ្នកនឹងយល់ពីរបៀបដែលវាដំណើរការ។

សេចក្តីសន្និដ្ឋាន

ជាលទ្ធផលយើងទទួលបានអត្ថប្រយោជន៍ដូចខាងក្រោមៈ

• គ្របដណ្តប់ 100% នៃម៉ាស៊ីនលីនុចទាំងអស់។
• ល្បឿន។
• ស្វ័យប្រវត្តិកម្ម។
• យើងបានរំដោះ Hardware និងវិស្វករបណ្តាញចេញពីទាសភាព។
• លទ្ធភាពនៃការរួមបញ្ចូលបានលេចឡើងដែលស្ទើរតែគ្មានដែនកំណត់៖ សូម្បីតែជាមួយ Kubernetes សូម្បីតែជាមួយ Ansible សូម្បីតែជាមួយ Python ។

Минусы៖ កុងស៊ុល​ដែល​យើង​ត្រូវ​រស់​នៅ​ឥឡូវ​នេះ ហើយ​តម្លៃ​កំហុស​ខ្ពស់​ណាស់។ ជាឧទាហរណ៍ ម្តងនៅម៉ោង 6 ល្ងាច (ម៉ោងដំបូងនៅប្រទេសរុស្ស៊ី) ខ្ញុំបានកែសម្រួលអ្វីមួយនៅក្នុងបញ្ជីបណ្តាញ។ យើងទើបតែសាងសង់អ៊ីសូឡង់នៅ BEFW នៅពេលនោះ។ ខ្ញុំ​បាន​ធ្វើ​ខុស​នៅ​កន្លែង​ណា​មួយ វា​ហាក់​ដូច​ជា​ខ្ញុំ​បង្ហាញ​របាំង​ខុស ប៉ុន្តែ​អ្វី​គ្រប់​យ៉ាង​បាន​ធ្លាក់​ចុះ​ក្នុង​រយៈ​ពេល​ពីរ​វិនាទី។ ការត្រួតពិនិត្យបានភ្លឺឡើង ជំនួយការដែលបំពេញកាតព្វកិច្ចរត់មក៖ "យើងមានអ្វីគ្រប់យ៉ាង!" ប្រធាននាយកដ្ឋានប្រែទៅជាពណ៌ប្រផេះនៅពេលដែលគាត់បានពន្យល់ដល់អាជីវកម្មថាហេតុអ្វីបានជារឿងនេះកើតឡើង។

តម្លៃនៃកំហុសគឺខ្ពស់ណាស់ដែលពួកយើងបានបង្កើតឡើងនូវនីតិវិធីបង្ការដ៏ស្មុគស្មាញផ្ទាល់ខ្លួនរបស់យើង។ ប្រសិនបើអ្នកអនុវត្តវានៅលើគេហទំព័រផលិតកម្មធំ អ្នកមិនចាំបាច់ផ្តល់សញ្ញាសម្ងាត់លើកុងស៊ុលដល់មនុស្សគ្រប់គ្នានោះទេ។ នេះនឹងបញ្ចប់យ៉ាងធ្ងន់ធ្ងរ។

ថ្លៃដើម។ ខ្ញុំសរសេរកូដ ៤០០ ម៉ោងតែម្នាក់ឯង។ ក្រុមរបស់ខ្ញុំដែលមានមនុស្ស 400 នាក់ចំណាយពេល 4 ម៉ោងក្នុងមួយខែលើការគាំទ្រសម្រាប់មនុស្សគ្រប់គ្នា។ បើប្រៀបធៀបទៅនឹងតម្លៃជញ្ជាំងភ្លើងជំនាន់ថ្មី វាមិនគិតថ្លៃទេ។

ផែនការ។ ផែនការរយៈពេលវែងគឺស្វែងរកមធ្យោបាយដឹកជញ្ជូនជំនួសដើម្បីជំនួស ឬបំពេញបន្ថែមកុងស៊ុល។ ប្រហែលជាវានឹងក្លាយជា Kafka ឬអ្វីមួយស្រដៀងគ្នា។ ប៉ុន្តែនៅក្នុងប៉ុន្មានឆ្នាំខាងមុខនេះយើងនឹងរស់នៅលើកុងស៊ុល។

ផែនការភ្លាមៗ៖ ការរួមបញ្ចូលជាមួយ Fail2ban ជាមួយនឹងការត្រួតពិនិត្យ ជាមួយនឹង nftables ដែលអាចជាមួយនឹងការចែកចាយផ្សេងទៀត រង្វាស់ ការត្រួតពិនិត្យកម្រិតខ្ពស់ ការបង្កើនប្រសិទ្ធភាព។ ការគាំទ្រ Kubernetes ក៏ជាកន្លែងណាមួយនៅក្នុងផែនការផងដែរ ព្រោះឥឡូវនេះយើងមានចង្កោមជាច្រើន និងបំណងប្រាថ្នា។

បន្ថែមពីគម្រោង៖

• ស្វែងរកភាពមិនប្រក្រតីក្នុងចរាចរណ៍;
• ការគ្រប់គ្រងផែនទីបណ្តាញ;
• គាំទ្រ Kubernetes;
• ការផ្គុំកញ្ចប់សម្រាប់ប្រព័ន្ធទាំងអស់;
• Web-UI ។

យើងកំពុងធ្វើការឥតឈប់ឈរលើការពង្រីកការកំណត់ បង្កើនរង្វាស់ និងការបង្កើនប្រសិទ្ធភាព។

ចូលរួមគម្រោង។ គម្រោងនេះប្រែទៅជាត្រជាក់ ប៉ុន្តែជាអកុសល វានៅតែជាគម្រោងសម្រាប់មនុស្សម្នាក់។ មកកាន់ GitHub ហើយព្យាយាមធ្វើអ្វីមួយ៖ ប្តេជ្ញា សាកល្បង ណែនាំអ្វីមួយ ផ្តល់ការវាយតម្លៃរបស់អ្នក។

ទន្ទឹមនឹងនេះយើងកំពុងរៀបចំសម្រាប់ Saint HighLoad++ដែលនឹងប្រព្រឹត្តទៅនៅថ្ងៃទី 6 និងទី 7 ខែមេសា នៅ St. Petersburg ហើយយើងសូមអញ្ជើញអ្នកបង្កើតប្រព័ន្ធផ្ទុកខ្ពស់ ដាក់ពាក្យសុំរបាយការណ៍. វាគ្មិនដែលមានបទពិសោធន៍ដឹងពីអ្វីដែលត្រូវធ្វើ ប៉ុន្តែសម្រាប់អ្នកដែលទើបនឹងនិយាយ យើងសូមណែនាំយ៉ាងហោចណាស់ ព្យាយាម. ការចូលរួមក្នុងសន្និសីទក្នុងនាមជាវាគ្មិនមានអត្ថប្រយោជន៍មួយចំនួន។ អ្នកអាចអានមួយណា ជាឧទាហរណ៍ នៅចុងបញ្ចប់ អត្ថបទ​នេះ.

ប្រភព: www.habr.com