കോൺസൽ + iptables = :3

2010 ൽ കമ്പനി യുദ്ധ ഗെയിമിംഗ് 50 സെർവറുകളും ഒരു ലളിതമായ നെറ്റ്‌വർക്ക് മോഡലും ഉണ്ടായിരുന്നു: ബാക്കെൻഡ്, ഫ്രണ്ട്‌എൻഡ്, ഫയർവാൾ. സെർവറുകളുടെ എണ്ണം വർദ്ധിച്ചു, മോഡൽ കൂടുതൽ സങ്കീർണ്ണമായി: സ്റ്റേജിംഗ്, ACL-കളുള്ള ഒറ്റപ്പെട്ട VLAN-കൾ, തുടർന്ന് VRF-കളുള്ള VPN-കൾ, L2-ൽ ACL-കളുള്ള VLAN-കൾ, L3-ൽ ACL-കളുള്ള VRF-കൾ. തല കറങ്ങുന്നുണ്ടോ? അത് പിന്നീട് കൂടുതൽ രസകരമാകും.

16 സെർവറുകൾ ഉള്ളപ്പോൾ, നിരവധി വൈവിധ്യമാർന്ന സെഗ്‌മെന്റുകൾ ഉപയോഗിച്ച് കണ്ണീരില്ലാതെ പ്രവർത്തിക്കുക അസാധ്യമായി. അതിനാൽ ഞങ്ങൾ മറ്റൊരു പരിഹാരവുമായി എത്തി. ഞങ്ങൾ Netfilter സ്റ്റാക്ക് എടുത്തു, അതിലേക്ക് ഒരു ഡാറ്റാ ഉറവിടമായി കോൺസലിനെ ചേർത്തു, ഞങ്ങൾക്ക് ഒരു ഫാസ്റ്റ് ഡിസ്ട്രിബ്യൂഡ് ഫയർവാൾ ലഭിച്ചു. അവർ റൂട്ടറുകളിലെ ACL-കൾ മാറ്റി, അവയെ ബാഹ്യവും ആന്തരികവുമായ ഫയർവാളായി ഉപയോഗിച്ചു. ഉപകരണം ചലനാത്മകമായി കൈകാര്യം ചെയ്യുന്നതിന്, ഞങ്ങൾ BEFW സിസ്റ്റം വികസിപ്പിച്ചെടുത്തു, അത് എല്ലായിടത്തും ഉപയോഗിച്ചിരുന്നു: ഉൽപ്പന്ന നെറ്റ്‌വർക്കിലേക്കുള്ള ഉപയോക്തൃ ആക്‌സസ് നിയന്ത്രിക്കുന്നത് മുതൽ നെറ്റ്‌വർക്ക് സെഗ്‌മെന്റുകൾ പരസ്പരം വേർതിരിക്കുന്നത് വരെ.

ഇതെല്ലാം എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്നും നിങ്ങൾ ഈ സംവിധാനത്തെ സൂക്ഷ്മമായി പരിശോധിക്കേണ്ടതുണ്ടെന്നും അവൻ നിങ്ങളോട് പറയും. ഇവാൻ അഗർകോവ് (annmuor) കമ്പനിയുടെ മിൻസ്ക് വികസന കേന്ദ്രത്തിലെ മെയിന്റനൻസ് ഡിവിഷന്റെ ഇൻഫ്രാസ്ട്രക്ചർ സെക്യൂരിറ്റി ഗ്രൂപ്പിന്റെ തലവനാണ്. ഇവാൻ ഒരു SELinux ആരാധകനാണ്, പേളിനെ സ്നേഹിക്കുന്നു, കൂടാതെ കോഡ് എഴുതുകയും ചെയ്യുന്നു. ഇൻഫർമേഷൻ സെക്യൂരിറ്റി ഗ്രൂപ്പിന്റെ തലവൻ എന്ന നിലയിൽ, ഹാക്കർമാരിൽ നിന്ന് Wargaming-നെ പരിരക്ഷിക്കുന്നതിനും കമ്പനിയിലെ എല്ലാ ഗെയിം സെർവറുകളുടെയും പ്രവർത്തനം ഉറപ്പാക്കുന്നതിനും ലോഗുകൾ, ബാക്കപ്പുകൾ, R&D എന്നിവയുമായി അദ്ദേഹം പതിവായി പ്രവർത്തിക്കുന്നു.

ചരിത്ര പശ്ചാത്തലം

ഞങ്ങൾ ഇത് എങ്ങനെ ചെയ്തുവെന്ന് ഞാൻ നിങ്ങളോട് പറയുന്നതിന് മുമ്പ്, ഞങ്ങൾ എങ്ങനെയാണ് ആദ്യം ഇതിലേക്ക് വന്നതെന്നും എന്തുകൊണ്ട് ഇത് ആവശ്യമായി വന്നുവെന്നും ഞാൻ നിങ്ങളോട് പറയും. ഇത് ചെയ്യുന്നതിന്, നമുക്ക് 9 വർഷം പിന്നോട്ട് പോകാം: 2010, വേൾഡ് ഓഫ് ടാങ്ക്സ് ഇപ്പോൾ പ്രത്യക്ഷപ്പെട്ടു. Wargaming-ന് ഏകദേശം 50 സെർവറുകൾ ഉണ്ടായിരുന്നു.

കമ്പനി സെർവർ വളർച്ചാ ചാർട്ട്.

ഞങ്ങൾക്ക് ഒരു നെറ്റ്‌വർക്ക് മോഡൽ ഉണ്ടായിരുന്നു. അക്കാലത്തേക്ക് അത് സമുചിതമായിരുന്നു.

2010 ലെ നെറ്റ്‌വർക്ക് മോഡൽ.

ഞങ്ങളെ തകർക്കാൻ ആഗ്രഹിക്കുന്ന മോശം ആളുകൾ മുൻവശത്തുണ്ട്, പക്ഷേ അതിന് ഒരു ഫയർവാൾ ഉണ്ട്. ബാക്കെൻഡിൽ ഫയർവാൾ ഇല്ല, പക്ഷേ അവിടെ 50 സെർവറുകൾ ഉണ്ട്, അവയെല്ലാം ഞങ്ങൾക്കറിയാം. എല്ലാം നന്നായി പ്രവർത്തിക്കുന്നു.

4 വർഷത്തിനുള്ളിൽ, സെർവർ കപ്പൽ 100 ​​മടങ്ങ് വളർന്നു, 5000 ആയി. ആദ്യത്തെ ഒറ്റപ്പെട്ട നെറ്റ്‌വർക്കുകൾ പ്രത്യക്ഷപ്പെട്ടു - സ്റ്റേജിംഗ്: അവർക്ക് ഉൽ‌പാദനത്തിലേക്ക് പോകാൻ കഴിഞ്ഞില്ല, പലപ്പോഴും അപകടകരമായേക്കാവുന്ന കാര്യങ്ങൾ അവിടെ പ്രവർത്തിക്കുന്നു.

2014 ലെ നെറ്റ്‌വർക്ക് മോഡൽ.

ജഡത്വത്താൽ, ഞങ്ങൾ ഒരേ ഹാർഡ്‌വെയർ കഷണങ്ങൾ ഉപയോഗിച്ചു, കൂടാതെ എല്ലാ ജോലികളും ഒറ്റപ്പെട്ട VLAN-കളിലാണ് നടത്തിയത്: ACL-കൾ VLAN-കളിലേക്ക് എഴുതിയിരിക്കുന്നു, അത് ഏതെങ്കിലും തരത്തിലുള്ള കണക്ഷൻ അനുവദിക്കുകയോ നിരസിക്കുകയോ ചെയ്യുന്നു.

2016-ൽ, സെർവറുകളുടെ എണ്ണം 8000 ആയി. വാർ‌ഗെയിമിംഗ് മറ്റ് സ്റ്റുഡിയോകളെ ആഗിരണം ചെയ്യുകയും അധിക അനുബന്ധ നെറ്റ്‌വർക്കുകൾ പ്രത്യക്ഷപ്പെടുകയും ചെയ്തു. അവ നമ്മുടേതാണെന്ന് തോന്നുന്നു, പക്ഷേ പൂർണ്ണമായും അല്ല: VLAN പലപ്പോഴും പങ്കാളികൾക്കായി പ്രവർത്തിക്കില്ല, നിങ്ങൾ VRF-നൊപ്പം VPN ഉപയോഗിക്കണം, ഒറ്റപ്പെടൽ കൂടുതൽ സങ്കീർണ്ണമാകും. ACL ഇൻസുലേഷൻ മിശ്രിതം വളർന്നു.

2016 ലെ നെറ്റ്‌വർക്ക് മോഡൽ.

2018-ന്റെ തുടക്കത്തോടെ, യന്ത്രങ്ങളുടെ എണ്ണം 16 ആയി വളർന്നു. 000 സെഗ്‌മെന്റുകൾ ഉണ്ടായിരുന്നു, സാമ്പത്തിക ഡാറ്റ സംഭരിച്ച അടച്ചവ ഉൾപ്പെടെ ബാക്കിയുള്ളവ ഞങ്ങൾ കണക്കാക്കിയില്ല. കണ്ടെയ്‌നർ നെറ്റ്‌വർക്കുകൾ (കുബർനെറ്റസ്), DevOps, VPN വഴി കണക്‌റ്റുചെയ്‌ത ക്ലൗഡ് നെറ്റ്‌വർക്കുകൾ, ഉദാഹരണത്തിന്, ഒരു IVS-ൽ നിന്ന്, പ്രത്യക്ഷപ്പെട്ടു. ധാരാളം നിയമങ്ങൾ ഉണ്ടായിരുന്നു - അത് വേദനാജനകമായിരുന്നു.

2018 ലെ നെറ്റ്‌വർക്ക് മോഡലും ഐസൊലേഷൻ രീതികളും.

ഐസൊലേഷനായി ഞങ്ങൾ ഉപയോഗിച്ചത്: L2-ൽ ACL ഉള്ള VLAN, L3-ൽ ACL ഉള്ള VRF, VPN എന്നിവയും അതിലേറെയും. വളരെയധികം.

പ്രശ്നങ്ങൾ

എല്ലാവരും ACL, VLAN എന്നിവയിൽ താമസിക്കുന്നു. എന്താണ് തെറ്റുപറ്റിയത്? ഈ ചോദ്യത്തിന് വേദന മറച്ചുവെച്ച് ഹരോൾഡ് ഉത്തരം നൽകും.

നിരവധി പ്രശ്‌നങ്ങൾ ഉണ്ടായിരുന്നു, പക്ഷേ അഞ്ച് വലിയവ ഉണ്ടായിരുന്നു.

• പുതിയ നിയമങ്ങൾക്കായി ജ്യാമിതീയ വില വർദ്ധനവ്. ഓരോ പുതിയ നിയമവും മുമ്പത്തേതിനേക്കാൾ കൂടുതൽ സമയമെടുത്തു, കാരണം അത്തരമൊരു നിയമം ഇതിനകം ഉണ്ടോ എന്ന് ആദ്യം നോക്കേണ്ടത് ആവശ്യമാണ്.
• സെഗ്‌മെന്റുകൾക്കുള്ളിൽ ഫയർവാൾ ഇല്ല. സെഗ്‌മെന്റുകൾ എങ്ങനെയെങ്കിലും പരസ്പരം വേർപെടുത്തി, അതിനകത്ത് മതിയായ വിഭവങ്ങൾ ഇല്ലായിരുന്നു.
• നിയമങ്ങൾ വളരെക്കാലമായി പ്രയോഗിച്ചു. ഓപ്പറേറ്റർമാർക്ക് ഒരു മണിക്കൂറിനുള്ളിൽ ഒരു പ്രാദേശിക നിയമം കൈകൊണ്ട് എഴുതാം. ഗ്ലോബൽ ഒന്ന് കുറച്ച് ദിവസമെടുത്തു.
• ഓഡിറ്റിംഗ് നിയമങ്ങളിലെ ബുദ്ധിമുട്ടുകൾ. കൂടുതൽ കൃത്യമായി പറഞ്ഞാൽ, അത് സാധ്യമല്ലായിരുന്നു. ആദ്യത്തെ നിയമങ്ങൾ 2010-ൽ എഴുതി, അവരുടെ മിക്ക രചയിതാക്കളും കമ്പനിയിൽ ജോലി ചെയ്തില്ല.
• അടിസ്ഥാന സൗകര്യ നിയന്ത്രണത്തിന്റെ താഴ്ന്ന നില. ഇതാണ് പ്രധാന പ്രശ്നം - നമ്മുടെ രാജ്യത്ത് എന്താണ് സംഭവിക്കുന്നതെന്ന് ഞങ്ങൾക്ക് നന്നായി അറിയില്ലായിരുന്നു.

2018-ൽ ഒരു നെറ്റ്‌വർക്ക് എഞ്ചിനീയർ ഇങ്ങനെയാണ് കേട്ടത്: "കുറച്ച് എസിഎൽ കൂടി വേണം."

പരിഹാരങ്ങൾ

2018 ന്റെ തുടക്കത്തിൽ, അതിനെക്കുറിച്ച് എന്തെങ്കിലും ചെയ്യാൻ തീരുമാനിച്ചു.

സംയോജനങ്ങളുടെ വില നിരന്തരം വളരുകയാണ്. ഉപകരണങ്ങളുടെ മെമ്മറി തീർന്നതിനാൽ വലിയ ഡാറ്റാ സെന്ററുകൾ ഒറ്റപ്പെട്ട VLAN-കളെയും ACL-കളെയും പിന്തുണയ്‌ക്കുന്നത് നിർത്തി എന്നതാണ് ആരംഭ പോയിന്റ്.

പരിഹാരം: ഞങ്ങൾ ഹ്യൂമൻ ഫാക്ടർ നീക്കം ചെയ്യുകയും പരമാവധി ആക്‌സസ് നൽകുന്നത് ഓട്ടോമേറ്റ് ചെയ്യുകയും ചെയ്തു.

പുതിയ നിയമങ്ങൾ ബാധകമാകാൻ ഏറെ സമയമെടുക്കും. പരിഹാരം: നിയമങ്ങളുടെ പ്രയോഗം വേഗത്തിലാക്കുക, അത് വിതരണം ചെയ്യുകയും സമാന്തരമാക്കുകയും ചെയ്യുക. ആയിരം സിസ്റ്റങ്ങളിലേക്ക് rsync അല്ലെങ്കിൽ SFTP ഇല്ലാതെ നിയമങ്ങൾ സ്വയം വിതരണം ചെയ്യുന്നതിനായി ഇതിന് ഒരു ഡിസ്ട്രിബ്യൂഡ് സിസ്റ്റം ആവശ്യമാണ്.

സെഗ്‌മെന്റുകൾക്കുള്ളിൽ ഫയർവാൾ ഇല്ല. ഒരേ നെറ്റ്‌വർക്കിനുള്ളിൽ വ്യത്യസ്ത സേവനങ്ങൾ പ്രത്യക്ഷപ്പെടുമ്പോൾ സെഗ്‌മെന്റുകൾക്കുള്ളിൽ ഒരു ഫയർവാൾ ഞങ്ങളിലേക്ക് വരാൻ തുടങ്ങി. പരിഹാരം: ഹോസ്റ്റ് തലത്തിൽ ഒരു ഫയർവാൾ ഉപയോഗിക്കുക - ഹോസ്റ്റ് അടിസ്ഥാനമാക്കിയുള്ള ഫയർവാളുകൾ. മിക്കവാറും എല്ലായിടത്തും നമുക്ക് Linux ഉണ്ട്, എല്ലായിടത്തും iptables ഉണ്ട്, ഇത് ഒരു പ്രശ്നമല്ല.

ഓഡിറ്റിംഗ് നിയമങ്ങളിലെ ബുദ്ധിമുട്ടുകൾ. പരിഹാരം: അവലോകനത്തിനും മാനേജ്മെന്റിനുമായി എല്ലാ നിയമങ്ങളും ഒരിടത്ത് സൂക്ഷിക്കുക, അതിനാൽ ഞങ്ങൾക്ക് എല്ലാം ഓഡിറ്റ് ചെയ്യാം.

അടിസ്ഥാന സൗകര്യങ്ങളിൽ കുറഞ്ഞ നിയന്ത്രണം. പരിഹാരം: എല്ലാ സേവനങ്ങളുടെയും അവയ്ക്കിടയിലുള്ള ആക്സസ്സിന്റെയും ഒരു ഇൻവെന്ററി എടുക്കുക.

ഇത് ഒരു സാങ്കേതിക പ്രക്രിയയേക്കാൾ കൂടുതൽ ഭരണപരമായ പ്രക്രിയയാണ്. ചിലപ്പോൾ ഞങ്ങൾക്ക് ആഴ്ചയിൽ 200-300 പുതിയ റിലീസുകൾ ഉണ്ടാകും, പ്രത്യേകിച്ച് പ്രമോഷനുകളിലും അവധി ദിവസങ്ങളിലും. മാത്രമല്ല, ഇത് ഞങ്ങളുടെ DevOps-ന്റെ ഒരു ടീമിന് മാത്രമുള്ളതാണ്. ഇത്രയധികം റിലീസുകൾ ഉള്ളതിനാൽ, പോർട്ടുകൾ, ഐപികൾ, സംയോജനങ്ങൾ എന്നിവ ആവശ്യമാണെന്ന് കാണാൻ കഴിയില്ല. അതിനാൽ, ഞങ്ങൾക്ക് പ്രത്യേക പരിശീലനം ലഭിച്ച സേവന മാനേജർമാരെ ആവശ്യമുണ്ട്, അവർ ടീമുകളോട് ചോദിച്ചു: "എന്തായാലും എന്താണ് നിങ്ങൾ അത് കൊണ്ടുവന്നത്?"

ഞങ്ങൾ സമാരംഭിച്ച എല്ലാത്തിനും ശേഷം, 2019 ൽ ഒരു നെറ്റ്‌വർക്ക് എഞ്ചിനീയർ ഇതുപോലെ കാണപ്പെടാൻ തുടങ്ങി.

കോൺസൽ

സർവീസ് മാനേജർമാരുടെ സഹായത്തോടെ ഞങ്ങൾ കണ്ടെത്തുന്നതെല്ലാം കോൺസലിൽ ഉൾപ്പെടുത്താനും അവിടെ നിന്ന് iptables നിയമങ്ങൾ എഴുതാനും ഞങ്ങൾ തീരുമാനിച്ചു.

ഇത് ചെയ്യാൻ ഞങ്ങൾ എങ്ങനെ തീരുമാനിച്ചു?

• ഞങ്ങൾ എല്ലാ സേവനങ്ങളും നെറ്റ്‌വർക്കുകളും ഉപയോക്താക്കളും ശേഖരിക്കും.
• അവയെ അടിസ്ഥാനമാക്കി iptables നിയമങ്ങൾ ഉണ്ടാക്കാം.
• ഞങ്ങൾ നിയന്ത്രണം ഓട്ടോമേറ്റ് ചെയ്യുന്നു.
• ....
• ലാഭം.

കോൺസൽ ഒരു റിമോട്ട് API അല്ല, അതിന് എല്ലാ നോഡിലും പ്രവർത്തിക്കാനും iptables-ലേക്ക് എഴുതാനും കഴിയും. അനാവശ്യമായ കാര്യങ്ങൾ വൃത്തിയാക്കുന്ന യാന്ത്രിക നിയന്ത്രണങ്ങൾ കൊണ്ടുവരിക എന്നതാണ് അവശേഷിക്കുന്നത്, മിക്ക പ്രശ്നങ്ങളും പരിഹരിക്കപ്പെടും! ബാക്കിയുള്ളത് പോകുമ്പോൾ ഞങ്ങൾ ഉണ്ടാക്കും.

എന്തുകൊണ്ട് കോൺസൽ?

സ്വയം നന്നായി തെളിയിച്ചു. 2014-15 ൽ, ഞങ്ങൾ പാസ്‌വേഡുകൾ സംഭരിക്കുന്ന വോൾട്ടിന്റെ ഒരു ബാക്കെൻഡായി ഞങ്ങൾ ഇത് ഉപയോഗിച്ചു.

ഡാറ്റ നഷ്ടപ്പെടുന്നില്ല. ഉപയോഗ സമയത്ത്, ഒരു അപകടത്തിൽ പോലും കോൺസൽ ഡാറ്റ നഷ്‌ടപ്പെട്ടില്ല. ഫയർവാൾ മാനേജ്മെന്റ് സിസ്റ്റത്തിന് ഇത് ഒരു വലിയ പ്ലസ് ആണ്.

P2P കണക്ഷനുകൾ മാറ്റത്തിന്റെ വ്യാപനത്തെ ത്വരിതപ്പെടുത്തുന്നു. P2P ഉപയോഗിച്ച്, എല്ലാ മാറ്റങ്ങളും വേഗത്തിൽ വരുന്നു, മണിക്കൂറുകളോളം കാത്തിരിക്കേണ്ടതില്ല.

സൗകര്യപ്രദമായ REST API. ഞങ്ങൾ Apache ZooKeeper-നെയും പരിഗണിച്ചു, പക്ഷേ ഇതിന് ഒരു REST API ഇല്ല, അതിനാൽ നിങ്ങൾ ക്രച്ചസ് ഇൻസ്റ്റാൾ ചെയ്യേണ്ടിവരും.

ഒരു കീ വോൾട്ട് (KV), ഒരു ഡയറക്ടറി (സർവീസ് ഡിസ്കവറി) എന്നീ നിലകളിൽ പ്രവർത്തിക്കുന്നു. നിങ്ങൾക്ക് ഒരേസമയം സേവനങ്ങളും കാറ്റലോഗുകളും ഡാറ്റാ സെന്ററുകളും സംഭരിക്കാൻ കഴിയും. ഇത് ഞങ്ങൾക്ക് മാത്രമല്ല, അയൽ ടീമുകൾക്കും സൗകര്യപ്രദമാണ്, കാരണം ഒരു ആഗോള സേവനം നിർമ്മിക്കുമ്പോൾ, ഞങ്ങൾ വലുതായി ചിന്തിക്കുന്നു.

യുദ്ധ ഗെയിമിംഗ് സ്റ്റാക്കിന്റെ ഭാഗമായ Go- ൽ എഴുതിയത്. ഞങ്ങൾക്ക് ഈ ഭാഷ ഇഷ്ടമാണ്, ഞങ്ങൾക്ക് ധാരാളം ഗോ ഡെവലപ്പർമാർ ഉണ്ട്.

ശക്തമായ ACL സിസ്റ്റം. കോൺസലിൽ, ആരാണ് എന്താണ് എഴുതുന്നതെന്ന് നിയന്ത്രിക്കാൻ നിങ്ങൾക്ക് ACL-കൾ ഉപയോഗിക്കാം. ഫയർവാൾ നിയമങ്ങൾ മറ്റൊന്നുമായും ഓവർലാപ്പ് ചെയ്യില്ലെന്നും ഞങ്ങൾക്ക് ഇതിൽ പ്രശ്‌നങ്ങളുണ്ടാകില്ലെന്നും ഞങ്ങൾ ഉറപ്പ് നൽകുന്നു.

എന്നാൽ കോൺസൽ അതിന്റെ പോരായ്മകളും ഉണ്ട്.

• നിങ്ങൾക്ക് ഒരു ബിസിനസ് പതിപ്പ് ഇല്ലെങ്കിൽ ഡാറ്റാ സെന്ററിനുള്ളിൽ സ്കെയിൽ ചെയ്യില്ല. ഇത് ഫെഡറേഷന് മാത്രമേ അളക്കാനാവൂ.
• നെറ്റ്‌വർക്കിന്റെയും സെർവർ ലോഡിന്റെയും ഗുണനിലവാരത്തെ വളരെ ആശ്രയിച്ചിരിക്കുന്നു. നെറ്റ്‌വർക്കിൽ എന്തെങ്കിലും കാലതാമസമുണ്ടെങ്കിൽ, ഒരു തിരക്കുള്ള സെർവറിൽ കോൺസൽ ഒരു സെർവറായി ശരിയായി പ്രവർത്തിക്കില്ല, ഉദാഹരണത്തിന്, അസമമായ വേഗത. P2P കണക്ഷനുകളും അപ്‌ഡേറ്റ് ഡിസ്ട്രിബ്യൂഷൻ മോഡലുകളുമാണ് ഇതിന് കാരണം.
• ലഭ്യത നിരീക്ഷിക്കുന്നതിനുള്ള ബുദ്ധിമുട്ട്. കോൺസൽ പദവിയിൽ, എല്ലാം ശരിയാണെന്ന് അദ്ദേഹത്തിന് പറയാൻ കഴിയും, പക്ഷേ അദ്ദേഹം വളരെക്കാലം മുമ്പ് മരിച്ചു.

കോൺസൽ ഉപയോഗിക്കുമ്പോൾ ഈ പ്രശ്നങ്ങളിൽ ഭൂരിഭാഗവും ഞങ്ങൾ പരിഹരിച്ചു, അതിനാലാണ് ഞങ്ങൾ ഇത് തിരഞ്ഞെടുത്തത്. കമ്പനിക്ക് ഒരു ബദൽ ബാക്കെൻഡിനായി പദ്ധതികളുണ്ട്, പക്ഷേ ഞങ്ങൾ പ്രശ്നങ്ങൾ കൈകാര്യം ചെയ്യാൻ പഠിച്ചു, നിലവിൽ കോൺസലിനൊപ്പം താമസിക്കുന്നു.

കോൺസൽ എങ്ങനെ പ്രവർത്തിക്കുന്നു

ഒരു സോപാധിക ഡാറ്റാ സെന്ററിൽ ഞങ്ങൾ മൂന്ന് മുതൽ അഞ്ച് വരെ സെർവറുകൾ ഇൻസ്റ്റാൾ ചെയ്യും. ഒന്നോ രണ്ടോ സെർവറുകൾ പ്രവർത്തിക്കില്ല: ഒരു കോറം സംഘടിപ്പിക്കാനും ഡാറ്റ പൊരുത്തപ്പെടാത്തപ്പോൾ ആരാണ് ശരി, ആരാണ് തെറ്റ് എന്ന് തീരുമാനിക്കാനും അവർക്ക് കഴിയില്ല. അഞ്ചിൽ കൂടുതൽ അർത്ഥമില്ല, ഉൽപ്പാദനക്ഷമത കുറയും.

ക്ലയന്റുകൾ ഏത് ക്രമത്തിലും സെർവറുകളിലേക്ക് കണക്റ്റുചെയ്യുന്നു: അതേ ഏജന്റുമാർ, ഫ്ലാഗ് ഉപയോഗിച്ച് മാത്രം server = false.

ഇതിനുശേഷം, ക്ലയന്റുകൾക്ക് P2P കണക്ഷനുകളുടെ ഒരു ലിസ്റ്റ് ലഭിക്കുകയും അവർക്കിടയിൽ കണക്ഷനുകൾ നിർമ്മിക്കുകയും ചെയ്യുന്നു.

ആഗോള തലത്തിൽ, ഞങ്ങൾ നിരവധി ഡാറ്റാ സെന്ററുകളെ ബന്ധിപ്പിക്കുന്നു. അവർ P2P കണക്റ്റുചെയ്യുകയും ആശയവിനിമയം നടത്തുകയും ചെയ്യുന്നു.

മറ്റൊരു ഡാറ്റാ സെന്ററിൽ നിന്ന് ഡാറ്റ വീണ്ടെടുക്കാൻ ഞങ്ങൾ ആഗ്രഹിക്കുമ്പോൾ, അഭ്യർത്ഥന സെർവറിൽ നിന്ന് സെർവറിലേക്ക് പോകുന്നു. ഈ സ്കീമിനെ വിളിക്കുന്നു സെർഫ് പ്രോട്ടോക്കോൾ. കോൺസൽ പോലെയുള്ള സെർഫ് പ്രോട്ടോക്കോൾ വികസിപ്പിച്ചെടുത്തത് ഹാഷികോർപ്പാണ്.

കോൺസലിനെക്കുറിച്ചുള്ള ചില പ്രധാന വസ്തുതകൾ

ഇത് എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് വിവരിക്കുന്ന ഡോക്യുമെന്റേഷൻ കോൺസലിന്റെ പക്കലുണ്ട്. അറിഞ്ഞിരിക്കേണ്ട തിരഞ്ഞെടുത്ത വസ്തുതകൾ മാത്രമേ ഞാൻ നൽകൂ.

കോൺസൽ സെർവറുകൾ വോട്ടർമാരിൽ നിന്ന് ഒരു മാസ്റ്ററെ തിരഞ്ഞെടുക്കുന്നു. ഓരോ ഡാറ്റാ സെന്ററിനുമുള്ള സെർവറുകളുടെ ലിസ്റ്റിൽ നിന്ന് കോൺസൽ ഒരു മാസ്റ്ററെ തിരഞ്ഞെടുക്കുന്നു, സെർവറുകളുടെ എണ്ണം പരിഗണിക്കാതെ എല്ലാ അഭ്യർത്ഥനകളും അതിലേക്ക് മാത്രം പോകുന്നു. മാസ്റ്റർ ഫ്രീസിങ് വീണ്ടും തിരഞ്ഞെടുപ്പിലേക്ക് നയിക്കില്ല. മാസ്റ്ററെ തിരഞ്ഞെടുത്തിട്ടില്ലെങ്കിൽ, അഭ്യർത്ഥനകൾ ആരും സേവനം ചെയ്യില്ല.

നിങ്ങൾക്ക് തിരശ്ചീന സ്കെയിലിംഗ് വേണോ? ക്ഷമിക്കണം, ഇല്ല.

മറ്റൊരു ഡാറ്റാ സെന്ററിലേക്കുള്ള അഭ്യർത്ഥന, അത് ഏത് സെർവറിലേക്ക് വന്നാലും, മാസ്റ്ററിൽ നിന്ന് മാസ്റ്ററിലേക്ക് പോകുന്നു. ഫോർവേഡ് അഭ്യർത്ഥനകളിലെ ലോഡ് ഒഴികെ തിരഞ്ഞെടുത്ത മാസ്റ്ററിന് 100% ലോഡും ലഭിക്കുന്നു. ഡാറ്റാ സെന്ററിലെ എല്ലാ സെർവറുകളിലും ഡാറ്റയുടെ കാലികമായ പകർപ്പ് ഉണ്ട്, എന്നാൽ ഒരാൾ മാത്രമേ പ്രതികരിക്കൂ.

സ്കെയിൽ ചെയ്യാനുള്ള ഒരേയൊരു മാർഗ്ഗം ക്ലയന്റിൽ പഴയ മോഡ് പ്രവർത്തനക്ഷമമാക്കുക എന്നതാണ്.

പഴകിയ മോഡിൽ, നിങ്ങൾക്ക് കോറം കൂടാതെ പ്രതികരിക്കാം. ഞങ്ങൾ ഡാറ്റ സ്ഥിരത ഉപേക്ഷിക്കുന്ന ഒരു മോഡാണിത്, എന്നാൽ സാധാരണയേക്കാൾ അൽപ്പം വേഗത്തിൽ വായിക്കുകയും ഏത് സെർവറും പ്രതികരിക്കുകയും ചെയ്യുന്നു. സ്വാഭാവികമായും, മാസ്റ്ററിലൂടെ മാത്രം റെക്കോർഡിംഗ്.

കോൺസൽ ഡാറ്റാ സെന്ററുകൾക്കിടയിൽ ഡാറ്റ പകർത്തുന്നില്ല. ഒരു ഫെഡറേഷൻ കൂട്ടിച്ചേർക്കുമ്പോൾ, ഓരോ സെർവറിനും അതിന്റേതായ ഡാറ്റ മാത്രമേ ഉണ്ടായിരിക്കൂ. മറ്റുള്ളവർക്ക്, അവൻ എപ്പോഴും മറ്റൊരാളിലേക്ക് തിരിയുന്നു.

ഒരു ഇടപാടിന് പുറത്ത് പ്രവർത്തനങ്ങളുടെ ആറ്റോമിസിറ്റി ഉറപ്പുനൽകുന്നില്ല. കാര്യങ്ങൾ മാറ്റാൻ നിങ്ങൾക്ക് മാത്രം കഴിയില്ലെന്ന് ഓർമ്മിക്കുക. നിങ്ങൾക്ക് ഇത് വ്യത്യസ്തമായി വേണമെങ്കിൽ, ഒരു ലോക്ക് ഉപയോഗിച്ച് ഒരു ഇടപാട് നടത്തുക.

തടയൽ പ്രവർത്തനങ്ങൾ ലോക്കിംഗ് ഉറപ്പ് നൽകുന്നില്ല. അഭ്യർത്ഥന മാസ്റ്ററിൽ നിന്ന് മാസ്റ്ററിലേക്ക് പോകുന്നു, നേരിട്ട് അല്ല, അതിനാൽ നിങ്ങൾ തടയുമ്പോൾ തടയൽ പ്രവർത്തിക്കുമെന്ന് ഉറപ്പില്ല, ഉദാഹരണത്തിന്, മറ്റൊരു ഡാറ്റാ സെന്ററിൽ.

ACL ആക്സസ് ഉറപ്പുനൽകുന്നില്ല (പല കേസുകളിലും). ഒരു ഫെഡറേഷൻ ഡാറ്റാ സെന്ററിൽ - ACL ഡാറ്റാ സെന്ററിൽ (പ്രൈമറി DC) സംഭരിച്ചിരിക്കുന്നതിനാൽ ACL പ്രവർത്തിച്ചേക്കില്ല. ഡിസി നിങ്ങൾക്ക് ഉത്തരം നൽകിയില്ലെങ്കിൽ, എസിഎൽ പ്രവർത്തിക്കില്ല.

ഒരു ഫ്രീസുചെയ്ത മാസ്റ്റർ മുഴുവൻ ഫെഡറേഷനെയും മരവിപ്പിക്കും. ഉദാഹരണത്തിന്, ഒരു ഫെഡറേഷനിൽ 10 ഡാറ്റാ സെന്ററുകളുണ്ട്, ഒരാൾക്ക് മോശം നെറ്റ്‌വർക്ക് ഉണ്ട്, ഒരു മാസ്റ്റർ പരാജയപ്പെടുന്നു. അവനുമായി ആശയവിനിമയം നടത്തുന്ന എല്ലാവരും ഒരു സർക്കിളിൽ കുടുങ്ങിപ്പോകും: ഒരു അഭ്യർത്ഥനയുണ്ട്, അതിന് ഉത്തരമില്ല, ത്രെഡ് മരവിപ്പിക്കുന്നു. ഇത് എപ്പോൾ സംഭവിക്കുമെന്ന് അറിയാൻ ഒരു മാർഗവുമില്ല, ഒന്നോ രണ്ടോ മണിക്കൂറിനുള്ളിൽ ഫെഡറേഷൻ മുഴുവൻ വീഴും. അതിൽ നിങ്ങൾക്ക് ഒന്നും ചെയ്യാൻ കഴിയില്ല.

സ്റ്റാറ്റസ്, ക്വാറം, തിരഞ്ഞെടുപ്പുകൾ എന്നിവ ഒരു പ്രത്യേക ത്രെഡ് വഴിയാണ് കൈകാര്യം ചെയ്യുന്നത്. വീണ്ടും തിരഞ്ഞെടുപ്പ് നടക്കില്ല, സ്റ്റാറ്റസ് ഒന്നും കാണിക്കില്ല. നിങ്ങൾക്ക് ഒരു തത്സമയ കോൺസൽ ഉണ്ടെന്ന് നിങ്ങൾ കരുതുന്നു, നിങ്ങൾ ചോദിക്കുന്നു, ഒന്നും സംഭവിക്കുന്നില്ല - ഉത്തരമില്ല. അതേസമയം, എല്ലാം ശരിയാണെന്ന് സ്റ്റാറ്റസ് കാണിക്കുന്നു.

ഞങ്ങൾ ഈ പ്രശ്‌നം നേരിട്ടു, അത് ഒഴിവാക്കാൻ ഡാറ്റാ സെന്ററുകളുടെ പ്രത്യേക ഭാഗങ്ങൾ പുനർനിർമ്മിക്കേണ്ടി വന്നു.

കോൺസൽ എന്റർപ്രൈസിന്റെ ബിസിനസ് പതിപ്പിന് മുകളിലുള്ള ചില ദോഷങ്ങളൊന്നുമില്ല. ഇതിന് ധാരാളം ഉപയോഗപ്രദമായ പ്രവർത്തനങ്ങൾ ഉണ്ട്: വോട്ടർമാരെ തിരഞ്ഞെടുക്കൽ, വിതരണം, സ്കെയിലിംഗ്. ഒരേയൊരു "പക്ഷേ" മാത്രമേയുള്ളൂ - ഒരു വിതരണ സംവിധാനത്തിനുള്ള ലൈസൻസിംഗ് സംവിധാനം വളരെ ചെലവേറിയതാണ്.

ലൈഫ് ഹാക്കിംഗ്: rm -rf /var/lib/consul - ഏജന്റിന്റെ എല്ലാ രോഗങ്ങൾക്കും ഒരു പ്രതിവിധി. നിങ്ങൾക്കായി എന്തെങ്കിലും പ്രവർത്തിക്കുന്നില്ലെങ്കിൽ, നിങ്ങളുടെ ഡാറ്റ ഇല്ലാതാക്കി ഒരു പകർപ്പിൽ നിന്ന് ഡാറ്റ ഡൗൺലോഡ് ചെയ്യുക. മിക്കവാറും, കോൺസൽ പ്രവർത്തിക്കും.

BEFW

ഇനി നമുക്ക് കോൺസലിൽ ചേർത്ത കാര്യങ്ങളെക്കുറിച്ച് സംസാരിക്കാം.

BEFW എന്നതിന്റെ ചുരുക്കെഴുത്താണ് Bജ്ജ്EndFദേഷ്യംWഎല്ലാം. ആദ്യത്തെ ടെസ്റ്റ് കമ്മിറ്റുകൾ ഇടാൻ ഞാൻ ശേഖരം സൃഷ്ടിച്ചപ്പോൾ എങ്ങനെയെങ്കിലും ഉൽപ്പന്നത്തിന് പേരിടേണ്ടി വന്നു. ഈ പേര് നിലനിൽക്കുന്നു.

റൂൾ ടെംപ്ലേറ്റുകൾ

നിയമങ്ങൾ iptables വാക്യഘടനയിലാണ് എഴുതിയിരിക്കുന്നത്.

• -N BEFW
• -പി ഇൻപുട്ട് ഡ്രോപ്പ്
• -എ ഇൻപുട്ട് -എം സംസ്ഥാനം-സംസ്ഥാനവുമായി ബന്ധപ്പെട്ട, സ്ഥാപിച്ചത് -ജെ അംഗീകരിക്കുന്നു
• -എ ഇൻപുട്ട് -ഐ ലോ -ജെ അംഗീകരിക്കുന്നു
• -എ ഇൻപുട്ട് -j BEFW

ഒഴികെ എല്ലാം BEFW ശൃംഖലയിലേക്ക് പോകുന്നു ESTABLISHED, RELATED ലോക്കൽ ഹോസ്റ്റും. ടെംപ്ലേറ്റ് എന്തും ആകാം, ഇത് ഒരു ഉദാഹരണം മാത്രമാണ്.

BEFW എങ്ങനെ ഉപയോഗപ്രദമാണ്?

സേവനങ്ങൾ

ഞങ്ങൾക്ക് ഒരു സേവനമുണ്ട്, അതിന് എല്ലായ്പ്പോഴും ഒരു പോർട്ട് ഉണ്ട്, അത് പ്രവർത്തിക്കുന്ന ഒരു നോഡ്. ഞങ്ങളുടെ നോഡിൽ നിന്ന്, ഞങ്ങൾക്ക് പ്രാദേശികമായി ഏജന്റിനോട് ചോദിക്കാനും ഞങ്ങൾക്ക് ഏതെങ്കിലും തരത്തിലുള്ള സേവനമുണ്ടെന്ന് കണ്ടെത്താനും കഴിയും. നിങ്ങൾക്ക് ടാഗുകളും ഇടാം.

കോൺസലിൽ പ്രവർത്തിക്കുന്നതും രജിസ്റ്റർ ചെയ്യുന്നതുമായ ഏതൊരു സേവനവും ഒരു iptables റൂളായി മാറുന്നു. ഞങ്ങൾക്ക് SSH - ഓപ്പൺ പോർട്ട് 22 ഉണ്ട്. ബാഷ് സ്ക്രിപ്റ്റ് ലളിതമാണ്: ചുരുളൻ, iptables, മറ്റൊന്നും ആവശ്യമില്ല.

ക്ലയന്റുകൾ

എല്ലാവർക്കും എന്നല്ല, തിരഞ്ഞെടുത്ത രീതിയിൽ എങ്ങനെ ആക്സസ് തുറക്കാം? സേവനത്തിന്റെ പേരിൽ കെവി സ്റ്റോറേജിലേക്ക് ഐപി ലിസ്റ്റുകൾ ചേർക്കുക.

ഉദാഹരണത്തിന്, പത്താം നെറ്റ്‌വർക്കിലുള്ള എല്ലാവർക്കും SSH_TCP_22 സേവനം ആക്‌സസ് ചെയ്യാൻ കഴിയണമെന്ന് ഞങ്ങൾ ആഗ്രഹിക്കുന്നു. ഒരു ചെറിയ TTL ഫീൽഡ് ചേർക്കണോ? ഇപ്പോൾ ഞങ്ങൾക്ക് താൽക്കാലിക പെർമിറ്റുകൾ ഉണ്ട്, ഉദാഹരണത്തിന്, ഒരു ദിവസത്തേക്ക്.

ആക്സസ്സ്

ഞങ്ങൾ സേവനങ്ങളെയും ക്ലയന്റുകളെയും ബന്ധിപ്പിക്കുന്നു: ഞങ്ങൾക്ക് ഒരു സേവനമുണ്ട്, ഓരോന്നിനും കെവി സംഭരണം തയ്യാറാണ്. ഇപ്പോൾ ഞങ്ങൾ ആക്സസ് നൽകുന്നത് എല്ലാവർക്കും അല്ല, മറിച്ച് തിരഞ്ഞെടുത്തു.

ഗ്രൂപ്പുകൾ

ഓരോ തവണയും ആക്‌സസ്സിനായി ആയിരക്കണക്കിന് ഐപികൾ എഴുതിയാൽ, നമ്മൾ തളരും. നമുക്ക് ഗ്രൂപ്പിംഗുകളുമായി വരാം - കെവിയിലെ ഒരു പ്രത്യേക ഉപവിഭാഗം. നമുക്ക് ഇതിനെ അപരനാമം (അല്ലെങ്കിൽ ഗ്രൂപ്പുകൾ) എന്ന് വിളിക്കാം, അതേ തത്വമനുസരിച്ച് ഗ്രൂപ്പുകൾ അവിടെ സംഭരിക്കുക.

നമുക്ക് ബന്ധിപ്പിക്കാം: ഇപ്പോൾ നമുക്ക് SSH തുറക്കാൻ കഴിയും P2P-യ്‌ക്ക് വേണ്ടിയല്ല, ഒരു മുഴുവൻ ഗ്രൂപ്പിനും അല്ലെങ്കിൽ നിരവധി ഗ്രൂപ്പുകൾക്കുമായി. അതുപോലെ, TTL ഉണ്ട് - നിങ്ങൾക്ക് ഒരു ഗ്രൂപ്പിലേക്ക് ചേർക്കുകയും ഗ്രൂപ്പിൽ നിന്ന് താൽക്കാലികമായി നീക്കം ചെയ്യുകയും ചെയ്യാം.

സംയോജനം

നമ്മുടെ പ്രശ്നം മനുഷ്യ ഘടകവും ഓട്ടോമേഷനുമാണ്. ഇതുവരെ ഞങ്ങൾ ഇത് ഈ രീതിയിൽ പരിഹരിച്ചു.

ഞങ്ങൾ പപ്പറ്റിനൊപ്പം പ്രവർത്തിക്കുന്നു, കൂടാതെ സിസ്റ്റവുമായി ബന്ധപ്പെട്ട എല്ലാം (അപ്ലിക്കേഷൻ കോഡ്) അവർക്ക് കൈമാറുന്നു. Puppetdb (പതിവ് PostgreSQL) അവിടെ പ്രവർത്തിക്കുന്ന സേവനങ്ങളുടെ ഒരു ലിസ്റ്റ് സംഭരിക്കുന്നു, അവ ഉറവിട തരം അനുസരിച്ച് കണ്ടെത്താനാകും. ആരാണ് എവിടെയാണ് അപേക്ഷിക്കുന്നതെന്ന് അവിടെ നിങ്ങൾക്ക് കണ്ടെത്താനാകും. ഇതിനായി പുൾ അഭ്യർത്ഥന, ലയിപ്പിക്കൽ അഭ്യർത്ഥന സംവിധാനവും ഞങ്ങൾക്കുണ്ട്.

ഡാറ്റ കൈമാറാൻ സഹായിക്കുന്ന ലളിതമായ ഒരു പരിഹാരമായ befw-sync ഞങ്ങൾ എഴുതി. ആദ്യം, സമന്വയ കുക്കികൾ puppetdb ആക്സസ് ചെയ്യുന്നു. ഒരു HTTP API അവിടെ കോൺഫിഗർ ചെയ്‌തിരിക്കുന്നു: ഞങ്ങൾക്ക് എന്ത് സേവനങ്ങളാണ് ഉള്ളത്, എന്താണ് ചെയ്യേണ്ടത് എന്ന് ഞങ്ങൾ അഭ്യർത്ഥിക്കുന്നു. തുടർന്ന് അവർ കോൺസലിനോട് അഭ്യർത്ഥിക്കുന്നു.

സംയോജനമുണ്ടോ? അതെ: അവർ നിയമങ്ങൾ എഴുതുകയും പുൾ അഭ്യർത്ഥനകൾ സ്വീകരിക്കാൻ അനുവദിക്കുകയും ചെയ്തു. നിങ്ങൾക്ക് ഒരു നിശ്ചിത പോർട്ട് വേണോ അതോ ഏതെങ്കിലും ഗ്രൂപ്പിലേക്ക് ഒരു ഹോസ്റ്റ് ചേർക്കണോ? അഭ്യർത്ഥന വലിക്കുക, അവലോകനം ചെയ്യുക - ഇനി വേണ്ട "മറ്റ് 200 ACL-കൾ കണ്ടെത്തി അതിനെക്കുറിച്ച് എന്തെങ്കിലും ചെയ്യാൻ ശ്രമിക്കുക."

ഒപ്റ്റിമൈസേഷൻ

ശൂന്യമായ ഒരു റൂൾ ചെയിൻ ഉപയോഗിച്ച് ലോക്കൽഹോസ്‌റ്റ് പിംഗ് ചെയ്യുന്നതിന് 0,075 എംഎസ് എടുക്കും.

ഈ ശൃംഖലയിലേക്ക് 10 iptables വിലാസങ്ങൾ ചേർക്കാം. തൽഫലമായി, പിംഗ് 000 മടങ്ങ് വർദ്ധിക്കും: iptables പൂർണ്ണമായും രേഖീയമാണ്, ഓരോ വിലാസവും പ്രോസസ്സ് ചെയ്യുന്നതിന് കുറച്ച് സമയമെടുക്കും.

ആയിരക്കണക്കിന് ACL-കൾ മൈഗ്രേറ്റ് ചെയ്യുന്ന ഒരു ഫയർവാളിന്, ഞങ്ങൾക്ക് ധാരാളം നിയമങ്ങളുണ്ട്, ഇത് ലേറ്റൻസി അവതരിപ്പിക്കുന്നു. ഗെയിമിംഗ് പ്രോട്ടോക്കോളുകൾക്ക് ഇത് മോശമാണ്.

എന്നാൽ ഞങ്ങൾ ഇട്ടാലോ ipset-ൽ 10 വിലാസങ്ങൾ പിംഗ് പോലും കുറയും.

എത്ര നിയമങ്ങൾ ഉണ്ടെങ്കിലും, ipset-നുള്ള "O" (അൽഗോരിതം സങ്കീർണ്ണത) എല്ലായ്പ്പോഴും 1 ന് തുല്യമാണ് എന്നതാണ് കാര്യം. ശരിയാണ്, ഒരു പരിമിതിയുണ്ട് - 65535-ൽ കൂടുതൽ നിയമങ്ങൾ ഉണ്ടാകരുത്, ഇപ്പോൾ ഞങ്ങൾ ഇതിലാണ് ജീവിക്കുന്നത്: നിങ്ങൾക്ക് അവ സംയോജിപ്പിക്കാനും വികസിപ്പിക്കാനും ഒന്നിൽ രണ്ട് ഇപ്‌സെറ്റുകൾ നിർമ്മിക്കാനും കഴിയും.

സംഭരണം

ആവർത്തന പ്രക്രിയയുടെ യുക്തിസഹമായ തുടർച്ചയാണ് സേവനത്തിനായി ക്ലയന്റുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ ipset-ൽ സംഭരിക്കുന്നത്.

ഇപ്പോൾ ഞങ്ങൾക്ക് ഒരേ എസ്എസ്എച്ച് ഉണ്ട്, ഞങ്ങൾ ഒരേസമയം 100 ഐപികൾ എഴുതുന്നില്ല, പക്ഷേ ഞങ്ങൾക്ക് ആശയവിനിമയം നടത്തേണ്ട ഐപ്സെറ്റിന്റെ പേരും ഇനിപ്പറയുന്ന നിയമവും സജ്ജമാക്കുക DROP. ഇത് "ആരാണ് ഇവിടെ ഇല്ല, ഡ്രോപ്പ്" എന്ന ഒരു നിയമമായി പരിവർത്തനം ചെയ്യാൻ കഴിയും, എന്നാൽ ഇത് കൂടുതൽ വ്യക്തമാണ്.

ഇപ്പോൾ നമുക്ക് നിയമങ്ങളും സെറ്റുകളും ഉണ്ട്. റൂൾ എഴുതുന്നതിന് മുമ്പ് ഒരു സെറ്റ് ഉണ്ടാക്കുക എന്നതാണ് പ്രധാന ചുമതല, അല്ലാത്തപക്ഷം iptables നിയമം എഴുതില്ല.

പൊതു പദ്ധതി

ഒരു ഡയഗ്രം രൂപത്തിൽ, ഞാൻ പറഞ്ഞതെല്ലാം ഇതുപോലെ കാണപ്പെടുന്നു.

ഞങ്ങൾ പപ്പറ്റിനോട് പ്രതിജ്ഞാബദ്ധരാണ്, എല്ലാം ഹോസ്റ്റിലേക്ക് അയയ്‌ക്കുന്നു, ഇവിടെയുള്ള സേവനങ്ങൾ, അവിടെ ഐപ്‌സെറ്റ്, അവിടെ രജിസ്റ്റർ ചെയ്യാത്ത ആരെയും അനുവദിക്കില്ല.

അനുവദിക്കുക & നിരസിക്കുക

ലോകത്തെ വേഗത്തിൽ സംരക്ഷിക്കുന്നതിനോ ആരെയെങ്കിലും വേഗത്തിൽ പ്രവർത്തനരഹിതമാക്കുന്നതിനോ, എല്ലാ ശൃംഖലകളുടെയും തുടക്കത്തിൽ ഞങ്ങൾ രണ്ട് ഇപ്‌സെറ്റുകൾ ഉണ്ടാക്കി: rules_allow и rules_deny. ഇത് എങ്ങനെ പ്രവർത്തിക്കുന്നു?

ഉദാഹരണത്തിന്, ബോട്ടുകൾ ഉപയോഗിച്ച് ഒരാൾ ഞങ്ങളുടെ വെബിൽ ഒരു ലോഡ് സൃഷ്ടിക്കുന്നു. മുമ്പ്, നിങ്ങൾ ലോഗുകളിൽ നിന്ന് അവന്റെ ഐപി കണ്ടെത്തണം, അത് നെറ്റ്‌വർക്ക് എഞ്ചിനീയർമാരുടെ അടുത്തേക്ക് കൊണ്ടുപോകണം, അങ്ങനെ അവർക്ക് ട്രാഫിക്കിന്റെ ഉറവിടം കണ്ടെത്താനും അവനെ നിരോധിക്കാനും കഴിയും. ഇപ്പോൾ അത് വ്യത്യസ്തമായി കാണപ്പെടുന്നു.

ഞങ്ങൾ അത് കോൺസലിലേക്ക് അയയ്ക്കുന്നു, 2,5 സെക്കൻഡ് കാത്തിരിക്കൂ, അത് പൂർത്തിയായി. കോൺസൽ P2P വഴി വേഗത്തിൽ വിതരണം ചെയ്യുന്നതിനാൽ, അത് ലോകത്തിന്റെ ഏത് ഭാഗത്തും എല്ലായിടത്തും പ്രവർത്തിക്കുന്നു.

ഒരിക്കൽ ഫയർവാളിലെ പിഴവ് കാരണം ഞാൻ എങ്ങനെയോ WOT പൂർണ്ണമായും നിർത്തി. rules_allow - ഇത് അത്തരം കേസുകൾക്കെതിരായ ഞങ്ങളുടെ ഇൻഷുറൻസാണ്. ഫയർവാളിൽ എവിടെയെങ്കിലും നമുക്ക് പിഴവ് സംഭവിച്ചിട്ടുണ്ടെങ്കിൽ, എവിടെയെങ്കിലും എന്തെങ്കിലും തടഞ്ഞിട്ടുണ്ടെങ്കിൽ, നമുക്ക് എല്ലായ്പ്പോഴും ഒരു സോപാധികമായി അയയ്ക്കാം 0.0/0എല്ലാം പെട്ടെന്ന് എടുക്കാൻ. പിന്നീട് കൈകൊണ്ട് എല്ലാം ശരിയാക്കും.

മറ്റ് സെറ്റുകൾ

നിങ്ങൾക്ക് സ്‌പെയ്‌സിൽ മറ്റേതെങ്കിലും സെറ്റുകൾ ചേർക്കാം $IPSETS$.

എന്തിനുവേണ്ടി? ചിലപ്പോൾ ആർക്കെങ്കിലും ipset ആവശ്യമാണ്, ഉദാഹരണത്തിന്, ക്ലസ്റ്ററിന്റെ ചില ഭാഗങ്ങളുടെ ഷട്ട്ഡൗൺ അനുകരിക്കാൻ. ആർക്കും ഏത് സെറ്റും കൊണ്ടുവരാം, അവയ്ക്ക് പേരിടാം, അവ കോൺസലിൽ നിന്ന് എടുക്കും. അതേ സമയം, സെറ്റുകൾക്ക് iptables നിയമങ്ങളിൽ പങ്കെടുക്കാം അല്ലെങ്കിൽ ഒരു ടീമായി പ്രവർത്തിക്കാം NOOP: ഡെമൺ സ്ഥിരത നിലനിർത്തും.

ഉപയോക്താക്കൾ

മുമ്പ്, ഇത് ഇങ്ങനെയായിരുന്നു: ഉപയോക്താവ് നെറ്റ്‌വർക്കിലേക്ക് കണക്റ്റുചെയ്‌ത് ഡൊമെയ്‌നിലൂടെ പാരാമീറ്ററുകൾ സ്വീകരിച്ചു. ന്യൂ ജനറേഷൻ ഫയർവാളുകൾ വരുന്നതിനുമുമ്പ്, ഉപയോക്താവ് എവിടെയാണെന്നും ഐപി എവിടെയാണെന്നും എങ്ങനെ മനസ്സിലാക്കണമെന്ന് സിസ്‌കോയ്ക്ക് അറിയില്ലായിരുന്നു. അതിനാൽ, മെഷീന്റെ ഹോസ്റ്റ് നാമത്തിലൂടെ മാത്രമേ പ്രവേശനം അനുവദിച്ചിട്ടുള്ളൂ.

ഞങ്ങൾ എന്താണ് ചെയ്തത്? വിലാസം ലഭിച്ച നിമിഷത്തിൽ ഞങ്ങൾ കുടുങ്ങി. സാധാരണയായി ഇത് dot1x, Wi-Fi അല്ലെങ്കിൽ VPN ആണ് - എല്ലാം RADIUS വഴി പോകുന്നു. ഓരോ ഉപയോക്താവിനും, ഞങ്ങൾ ഉപയോക്തൃനാമമനുസരിച്ച് ഒരു ഗ്രൂപ്പ് സൃഷ്‌ടിക്കുകയും അതിൽ dhcp.lease-ന് തുല്യമായ TTL ഉപയോഗിച്ച് ഒരു IP സ്ഥാപിക്കുകയും ചെയ്യുന്നു - അത് കാലഹരണപ്പെടുന്ന ഉടൻ, നിയമം അപ്രത്യക്ഷമാകും.

ഉപയോക്തൃനാമം ഉപയോഗിച്ച് മറ്റ് ഗ്രൂപ്പുകളെപ്പോലെ സേവനങ്ങളിലേക്കുള്ള ആക്സസ് ഇപ്പോൾ നമുക്ക് തുറക്കാനാകും. ഹോസ്റ്റ്നാമങ്ങൾ മാറുമ്പോൾ ഞങ്ങൾ വേദന ഒഴിവാക്കി, നെറ്റ്‌വർക്ക് എഞ്ചിനീയർമാർക്ക് ഇനി സിസ്‌കോ ആവശ്യമില്ലാത്തതിനാൽ ഞങ്ങൾ ഭാരം ഒഴിവാക്കി. ഇപ്പോൾ എഞ്ചിനീയർമാർ തന്നെ അവരുടെ സെർവറുകളിൽ ആക്സസ് രജിസ്റ്റർ ചെയ്യുന്നു.

ഇൻസുലേഷൻ

അതേ സമയം, ഞങ്ങൾ ഇൻസുലേഷൻ പൊളിക്കാൻ തുടങ്ങി. സേവന മാനേജർമാർ ഒരു ഇൻവെന്ററി എടുത്തു, ഞങ്ങളുടെ എല്ലാ നെറ്റ്‌വർക്കുകളും ഞങ്ങൾ വിശകലനം ചെയ്തു. നമുക്ക് അവയെ ഒരേ ഗ്രൂപ്പുകളായി വിഭജിക്കാം, ആവശ്യമായ സെർവറുകളിൽ ഗ്രൂപ്പുകൾ ചേർത്തു, ഉദാഹരണത്തിന്, നിരസിക്കാൻ. ഇപ്പോൾ അതേ സ്റ്റേജിംഗ് ഐസൊലേഷൻ അവസാനിക്കുന്നത് ഉൽപ്പാദനത്തിന്റെ_നിഷേധത്തിലാണ്, പക്ഷേ ഉൽപ്പാദനത്തിൽ തന്നെ അല്ല.

സ്കീം വേഗത്തിലും ലളിതമായും പ്രവർത്തിക്കുന്നു: ഞങ്ങൾ സെർവറുകളിൽ നിന്ന് എല്ലാ ACL-കളും നീക്കംചെയ്യുകയും ഹാർഡ്‌വെയർ അൺലോഡ് ചെയ്യുകയും ഒറ്റപ്പെട്ട VLAN-കളുടെ എണ്ണം കുറയ്ക്കുകയും ചെയ്യുന്നു.

സമഗ്രത നിയന്ത്രണം

മുമ്പ്, ആരെങ്കിലും ഒരു ഫയർവാൾ റൂൾ സ്വമേധയാ മാറ്റുമ്പോൾ റിപ്പോർട്ട് ചെയ്യുന്ന ഒരു പ്രത്യേക ട്രിഗർ ഞങ്ങൾക്ക് ഉണ്ടായിരുന്നു. ഫയർവാൾ നിയമങ്ങൾ പരിശോധിക്കുന്നതിനായി ഞാൻ ഒരു വലിയ ലിന്റർ എഴുതുകയായിരുന്നു, അത് ബുദ്ധിമുട്ടായിരുന്നു. സമഗ്രത ഇപ്പോൾ BEFW ആണ് നിയന്ത്രിക്കുന്നത്. താൻ ഉണ്ടാക്കുന്ന നിയമങ്ങൾ മാറുന്നില്ലെന്ന് അവൻ അസൂയയോടെ ഉറപ്പാക്കുന്നു. ആരെങ്കിലും ഫയർവാൾ നിയമങ്ങൾ മാറ്റുകയാണെങ്കിൽ, അത് എല്ലാം തിരികെ മാറ്റും. "ഞാൻ പെട്ടെന്ന് ഒരു പ്രോക്‌സി സജ്ജീകരിച്ചു, അതിനാൽ എനിക്ക് വീട്ടിൽ നിന്ന് ജോലി ചെയ്യാൻ കഴിയും"-അത്തരം ഓപ്ഷനുകളൊന്നുമില്ല.

BEFW ശൃംഖലയിലെ സേവന നിയമങ്ങളായ befw.conf-ലെ സേവനങ്ങളിൽ നിന്നും ലിസ്റ്റിൽ നിന്നും ipset നിയന്ത്രിക്കുന്നു. എന്നാൽ ഇത് മറ്റ് ശൃംഖലകളും നിയമങ്ങളും മറ്റ് ഇപ്‌സെറ്റുകളും നിരീക്ഷിക്കുന്നില്ല.

ക്രാഷ് സംരക്ഷണം

BEFW എല്ലായ്‌പ്പോഴും അറിയപ്പെടുന്ന അവസാനത്തെ നല്ല അവസ്ഥ നേരിട്ട് state.bin ബൈനറി ഘടനയിൽ സംഭരിക്കുന്നു. എന്തെങ്കിലും തെറ്റ് സംഭവിക്കുകയാണെങ്കിൽ, അത് എല്ലായ്പ്പോഴും ഈ state.bin-ലേക്ക് മടങ്ങും.

സ്ഥിരതയില്ലാത്ത കോൺസൽ പ്രവർത്തനത്തിനെതിരായ ഇൻഷുറൻസാണിത്, അത് ഡാറ്റ അയയ്‌ക്കാത്തപ്പോൾ അല്ലെങ്കിൽ ആരെങ്കിലും തെറ്റ് ചെയ്‌ത് പ്രയോഗിക്കാൻ കഴിയാത്ത നിയമങ്ങൾ ഉപയോഗിക്കുമ്പോൾ. ഒരു ഫയർവാൾ ഇല്ലാതെ ഞങ്ങൾ അവശേഷിക്കുന്നില്ലെന്ന് ഉറപ്പാക്കാൻ, ഏതെങ്കിലും ഘട്ടത്തിൽ ഒരു പിശക് സംഭവിച്ചാൽ BEFW ഏറ്റവും പുതിയ അവസ്ഥയിലേക്ക് മടങ്ങും.

നിർണായക സാഹചര്യങ്ങളിൽ, ഇത് ഒരു ഫയർവാൾ പ്രവർത്തനക്ഷമമാകുമെന്നതിന്റെ ഉറപ്പാണ്. അഡ്മിൻ വന്ന് ശരിയാക്കുമെന്ന പ്രതീക്ഷയിൽ ഞങ്ങൾ എല്ലാ ഗ്രേ നെറ്റ്‌വർക്കുകളും തുറക്കുന്നു. ഒരു ദിവസം ഞാൻ ഇത് കോൺഫിഗറുകളിൽ ഇടും, എന്നാൽ ഇപ്പോൾ ഞങ്ങൾക്ക് മൂന്ന് ഗ്രേ നെറ്റ്‌വർക്കുകൾ മാത്രമേയുള്ളൂ: 10/8, 172/12, 192.168/16. ഞങ്ങളുടെ കോൺസൽ ഉള്ളിൽ, ഇത് കൂടുതൽ വികസിപ്പിക്കാൻ ഞങ്ങളെ സഹായിക്കുന്ന ഒരു പ്രധാന സവിശേഷതയാണ്.

ഡെമോ: റിപ്പോർട്ടിനിടെ, ഇവാൻ BEFW ന്റെ ഡെമോ മോഡ് പ്രദർശിപ്പിക്കുന്നു. പ്രദർശനം കാണാൻ എളുപ്പമാണ് видео. ഡെമോ സോഴ്സ് കോഡ് ലഭ്യമാണ് GitHub-ൽ.

.അതിവിശാലമായ

ഞങ്ങൾ നേരിട്ട ബഗുകളെ കുറിച്ച് ഞാൻ നിങ്ങളോട് പറയും.

ipset ആഡ് സെറ്റ് 0.0.0.0/0. നിങ്ങൾ ipset-ലേക്ക് 0.0.0.0/0 ചേർത്താൽ എന്ത് സംഭവിക്കും? എല്ലാ ഐപികളും ചേർക്കുമോ? ഇന്റർനെറ്റ് ആക്സസ് ലഭ്യമാകുമോ?

ഇല്ല, ഞങ്ങൾക്ക് രണ്ട് മണിക്കൂർ പ്രവർത്തനരഹിതമായ ഒരു ബഗ് ലഭിക്കും. മാത്രമല്ല, 2016 മുതൽ ബഗ് പ്രവർത്തിച്ചിട്ടില്ല, #1297092 എന്ന നമ്പറിന് കീഴിൽ ഇത് റെഡ്ഹാറ്റ് ബഗ്‌സില്ലയിൽ സ്ഥിതിചെയ്യുന്നു, ഞങ്ങൾ അത് ആകസ്‌മികമായി കണ്ടെത്തി - ഒരു ഡെവലപ്പറുടെ റിപ്പോർട്ടിൽ നിന്ന്.

ബിഇഎഫ്ഡബ്ല്യുവിൽ അത് ഇപ്പോൾ കർശനമായ നിയമമാണ് 0.0.0.0/0 രണ്ട് വിലാസങ്ങളായി മാറുന്നു: 0.0.0.0/1 и 128.0.0.0/1.

ipset വീണ്ടെടുക്കൽ സെറ്റ് < ഫയൽ. നിങ്ങളോട് പറയുമ്പോൾ ipset എന്ത് ചെയ്യും restore? ഇത് iptables പോലെ തന്നെ പ്രവർത്തിക്കുമെന്ന് നിങ്ങൾ കരുതുന്നുണ്ടോ? ഇത് ഡാറ്റ വീണ്ടെടുക്കുമോ?

അങ്ങനെയൊന്നുമില്ല - ഇത് ലയിപ്പിക്കുന്നു, പഴയ വിലാസങ്ങൾ എവിടെയും പോകില്ല, നിങ്ങൾ ആക്സസ് തടയരുത്.

ഒറ്റപ്പെടൽ പരിശോധിക്കുമ്പോൾ ഞങ്ങൾ ഒരു ബഗ് കണ്ടെത്തി. ഇപ്പോൾ വളരെ സങ്കീർണ്ണമായ ഒരു സംവിധാനമുണ്ട് - പകരം restore നടന്നു create tempതുടർന്ന് restore flush temp и restore temp. സ്വാപ്പിന്റെ അവസാനം: ആറ്റോമിസിറ്റിക്ക്, കാരണം നിങ്ങൾ അത് ആദ്യം ചെയ്താൽ flush ഈ നിമിഷം ചില പാക്കറ്റ് വരുന്നു, അത് ഉപേക്ഷിക്കപ്പെടും, എന്തെങ്കിലും കുഴപ്പം സംഭവിക്കും. അതുകൊണ്ട് അവിടെ ഒരു ബ്ലാക്ക് മാജിക് ഉണ്ട്.

കോൺസൽ kv get -datacenter=other. ഞാൻ പറഞ്ഞതുപോലെ, ഞങ്ങൾ കുറച്ച് ഡാറ്റ ആവശ്യപ്പെടുകയാണെന്ന് ഞങ്ങൾ കരുതുന്നു, പക്ഷേ ഞങ്ങൾക്ക് ഡാറ്റ അല്ലെങ്കിൽ പിശക് ലഭിക്കും. പ്രാദേശികമായി കോൺസൽ മുഖേന ഞങ്ങൾക്ക് ഇത് ചെയ്യാൻ കഴിയും, എന്നാൽ ഈ സാഹചര്യത്തിൽ രണ്ടും മരവിപ്പിക്കും.

പ്രാദേശിക കോൺസൽ ക്ലയന്റ് HTTP API-യിൽ ഒരു റാപ്പറാണ്. എന്നാൽ ഇത് തൂങ്ങിക്കിടക്കുന്നു, Ctrl+C, അല്ലെങ്കിൽ Ctrl+Z, അല്ലെങ്കിൽ മറ്റെന്തെങ്കിലുമോ പ്രതികരിക്കുന്നില്ല. kill -9 അടുത്ത കൺസോളിൽ. ഞങ്ങൾ ഒരു വലിയ ക്ലസ്റ്റർ നിർമ്മിക്കുമ്പോൾ ഇത് നേരിട്ടു. എന്നാൽ ഞങ്ങൾക്ക് ഇതുവരെ പരിഹാരമില്ല; കോൺസലിൽ ഈ പിശക് പരിഹരിക്കാൻ ഞങ്ങൾ തയ്യാറെടുക്കുകയാണ്.

കോൺസൽ നേതാവ് പ്രതികരിക്കുന്നില്ല. ഡാറ്റാ സെന്ററിലെ ഞങ്ങളുടെ മാസ്റ്റർ പ്രതികരിക്കുന്നില്ല, ഞങ്ങൾ കരുതുന്നു: "ഒരുപക്ഷേ വീണ്ടും തിരഞ്ഞെടുക്കൽ അൽഗോരിതം ഇപ്പോൾ പ്രവർത്തിക്കുമോ?"

ഇല്ല, ഇത് പ്രവർത്തിക്കില്ല, നിരീക്ഷണം ഒന്നും കാണിക്കില്ല: ഒരു പ്രതിബദ്ധത സൂചികയുണ്ടെന്ന് കോൺസൽ പറയും, ഒരു നേതാവിനെ കണ്ടെത്തി, എല്ലാം ശരിയാണ്.

ഞങ്ങൾ ഇത് എങ്ങനെ കൈകാര്യം ചെയ്യും? service consul restart ഓരോ മണിക്കൂറിലും ക്രോണിൽ. നിങ്ങൾക്ക് 50 സെർവറുകൾ ഉണ്ടെങ്കിൽ, വലിയ കാര്യമില്ല. അവയിൽ 16 ഉള്ളപ്പോൾ, ഇത് എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് നിങ്ങൾക്ക് മനസ്സിലാകും.

തീരുമാനം

തൽഫലമായി, ഞങ്ങൾക്ക് ഇനിപ്പറയുന്ന ഗുണങ്ങൾ ലഭിച്ചു:

• എല്ലാ Linux മെഷീനുകളുടെയും 100% കവറേജ്.
• വേഗത
• ഓട്ടോമേഷൻ.
• ഞങ്ങൾ ഹാർഡ്‌വെയർ, നെറ്റ്‌വർക്ക് എഞ്ചിനീയർമാരെ അടിമത്തത്തിൽ നിന്ന് മോചിപ്പിച്ചു.
• സംയോജന സാധ്യതകൾ പ്രത്യക്ഷപ്പെട്ടു, അത് ഏതാണ്ട് പരിധിയില്ലാത്തതാണ്: കുബർനെറ്റസിനൊപ്പം, അൻസിബിളിനൊപ്പം, പൈത്തണിനൊപ്പം പോലും.

Минусы: കോൺസൽ, ഞങ്ങൾ ഇപ്പോൾ ജീവിക്കേണ്ടിവരുന്നു, കൂടാതെ പിശകിന്റെ ഉയർന്ന വിലയും. ഉദാഹരണത്തിന്, ഒരിക്കൽ വൈകുന്നേരം 6 മണിക്ക് (റഷ്യയിലെ പ്രധാന സമയം) ഞാൻ നെറ്റ്‌വർക്കുകളുടെ ലിസ്റ്റുകളിൽ എന്തെങ്കിലും എഡിറ്റുചെയ്യുകയായിരുന്നു. ഞങ്ങൾ ആ സമയത്ത് BEFW-ൽ ഇൻസുലേഷൻ നിർമ്മിക്കുകയായിരുന്നു. എനിക്ക് എവിടെയോ ഒരു തെറ്റ് സംഭവിച്ചു, ഞാൻ തെറ്റായ മുഖംമൂടി സൂചിപ്പിച്ചതായി തോന്നുന്നു, പക്ഷേ എല്ലാം രണ്ട് സെക്കൻഡിനുള്ളിൽ വീണു. നിരീക്ഷണം പ്രകാശിക്കുന്നു, ഡ്യൂട്ടിയിലുള്ള പിന്തുണക്കാരൻ ഓടി വരുന്നു: "ഞങ്ങൾക്ക് എല്ലാം ഉണ്ട്!" എന്തുകൊണ്ടാണ് ഇത് സംഭവിച്ചതെന്ന് ബിസിനസ്സിനോട് വിശദീകരിച്ചപ്പോൾ വകുപ്പ് മേധാവി നരച്ചു.

പിശകിന്റെ വില വളരെ ഉയർന്നതാണ്, ഞങ്ങളുടെ സ്വന്തം സങ്കീർണ്ണമായ പ്രതിരോധ നടപടിക്രമം ഞങ്ങൾ കൊണ്ടുവന്നിട്ടുണ്ട്. നിങ്ങൾ ഇത് ഒരു വലിയ പ്രൊഡക്ഷൻ സൈറ്റിൽ നടപ്പിലാക്കുകയാണെങ്കിൽ, എല്ലാവർക്കും കോൺസൽ മുഖേന ഒരു മാസ്റ്റർ ടോക്കൺ നൽകേണ്ടതില്ല. ഇത് മോശമായി അവസാനിക്കും.

ചെലവ് ഞാൻ 400 മണിക്കൂർ മാത്രം കോഡ് എഴുതി. 4 പേരടങ്ങുന്ന എന്റെ ടീം എല്ലാവർക്കുമായി ഒരു മാസത്തിൽ 10 മണിക്കൂർ ചെലവഴിക്കുന്നു. ഏതൊരു പുതിയ തലമുറ ഫയർവാളിന്റെയും വിലയുമായി താരതമ്യം ചെയ്യുമ്പോൾ, ഇത് സൗജന്യമാണ്.

പദ്ധതികൾ. കോൺസലിനെ മാറ്റിസ്ഥാപിക്കാനോ പൂരകമാക്കാനോ ബദൽ ഗതാഗതം കണ്ടെത്തുക എന്നതാണ് ദീർഘകാല പദ്ധതി. ഒരുപക്ഷെ അത് കാഫ്കയോ മറ്റെന്തെങ്കിലുമോ ആയിരിക്കും. എന്നാൽ വരും വർഷങ്ങളിൽ ഞങ്ങൾ കോൺസലിൽ ജീവിക്കും.

ഉടനടിയുള്ള പ്ലാനുകൾ: Fail2ban-മായി സംയോജിപ്പിക്കൽ, മോണിറ്ററിംഗ്, nftables, ഒരുപക്ഷേ മറ്റ് വിതരണങ്ങൾ, അളവുകൾ, വിപുലമായ നിരീക്ഷണം, ഒപ്റ്റിമൈസേഷൻ. കുബർനെറ്റസ് പിന്തുണ പ്ലാനുകളിൽ എവിടെയോ ഉണ്ട്, കാരണം ഇപ്പോൾ ഞങ്ങൾക്ക് നിരവധി ക്ലസ്റ്ററുകളും ആഗ്രഹവുമുണ്ട്.

പദ്ധതികളിൽ നിന്ന് കൂടുതൽ:

• ട്രാഫിക്കിലെ അപാകതകൾക്കായി തിരയുക;
• നെറ്റ്വർക്ക് മാപ്പ് മാനേജ്മെന്റ്;
• കുബെർനെറ്റസ് പിന്തുണ;
• എല്ലാ സിസ്റ്റങ്ങൾക്കുമായി പാക്കേജുകൾ കൂട്ടിച്ചേർക്കുന്നു;
• വെബ്-യുഐ.

കോൺഫിഗറേഷൻ വിപുലീകരിക്കുന്നതിനും മെട്രിക്‌സ് വർദ്ധിപ്പിക്കുന്നതിനും ഒപ്റ്റിമൈസേഷനും ഞങ്ങൾ നിരന്തരം പ്രവർത്തിക്കുന്നു.

പദ്ധതിയിൽ ചേരുക. പ്രോജക്റ്റ് രസകരമായി മാറി, പക്ഷേ, നിർഭാഗ്യവശാൽ, ഇത് ഇപ്പോഴും ഒരു വ്യക്തിയുടെ പദ്ധതിയാണ്. വരുക സാമൂഹികം എന്തെങ്കിലും ചെയ്യാൻ ശ്രമിക്കുക: പ്രതിബദ്ധത, പരീക്ഷിക്കുക, എന്തെങ്കിലും നിർദ്ദേശിക്കുക, നിങ്ങളുടെ വിലയിരുത്തൽ നൽകുക.

അതിനിടയിൽ ഞങ്ങൾ തയ്യാറെടുക്കുകയാണ് സെന്റ് ഹൈ ലോഡ്++, ഇത് ഏപ്രിൽ 6, 7 തീയതികളിൽ സെന്റ് പീറ്റേഴ്‌സ്ബർഗിൽ നടക്കും, ഉയർന്ന ലോഡ് സിസ്റ്റങ്ങളുടെ ഡെവലപ്പർമാരെ ഞങ്ങൾ ക്ഷണിക്കുന്നു ഒരു റിപ്പോർട്ടിനായി അപേക്ഷിക്കുക. പരിചയസമ്പന്നരായ സ്പീക്കറുകൾക്ക് എന്തുചെയ്യണമെന്ന് ഇതിനകം തന്നെ അറിയാം, എന്നാൽ പുതിയതായി സംസാരിക്കുന്നവർക്ക് ഞങ്ങൾ കുറഞ്ഞത് ശുപാർശ ചെയ്യുന്നു ശ്രമിക്കാൻ. ഒരു സ്പീക്കർ എന്ന നിലയിൽ സമ്മേളനത്തിൽ പങ്കെടുക്കുന്നത് നിരവധി ഗുണങ്ങളുണ്ട്. ഏതൊക്കെയാണെന്ന് നിങ്ങൾക്ക് വായിക്കാം, ഉദാഹരണത്തിന്, അവസാനം ഈ ലേഖനം.

അവലംബം: www.habr.com