3.13 Rhwydweithio a chysylltedd

Trosolwg a chymhelliant

Mae pob cais y mae eich cymhwysiad yn ei wneud yn croesi rhwydwaith, ac nid yw’r rhwydwaith yn poeni am eich terfynau amser. Rhwng eich cod a’r gronfa ddata, y darparwr taliadau, neu’r porwr, mae pentwr o rannau symudol yn eistedd: datrys enwau, llwybro, rheoli tagfeydd, ysgwyd llaw amgryptio, cydbwyswyr llwyth, dirprwyon, a waliau tân. Mae’r rhan fwyaf o beirianwyr cymwysiadau’n trin hyn i gyd fel piben wastad, ddibynadwy, a’r rhagdybiaeth honno yw’r ffynhonnell fwyaf cyfoethog o ddigwyddiadau cynhyrchu. Mae camsyniadau clasurol cyfrifiadura dosbarthedig (mae’r rhwydwaith yn ddibynadwy, mae oedi’n sero, mae lled band yn ddiderfyn, nid yw’r topoleg byth yn newid, mae cost trafnidiaeth yn sero) yn enwi’n union y credoau sy’n troi rhic fach yn doriad gwasanaeth. Nid cwrs ardystio rhwydweithio yw’r bennod hon. Dyma’r wybodaeth waith sydd ei gwir angen ar beiriannydd cymwysiadau i adeiladu systemau sy’n aros ar waith pan fydd y rhwydwaith yn camymddwyn.

I sefydliad mawr, cysylltedd yw’r man lle mae pensaernïaeth yn cwrdd â ffiseg a gwleidyddiaeth ar yr un pryd. Mae menter fyd-eang yn gwnïo canolfannau data, rhanbarthau cwmwl, API partneriaid, a systemau etifeddol at ei gilydd, ac mae pob naid yn ychwanegu oedi, moddau methiant, a ffin ddiogelwch y mae’n rhaid i rywun fod yn berchen arni. Mae llywodraethau’n haenu rheolau llym ynghylch sut mae traffig yn mynd i mewn ac allan o’u rhwydweithiau a lle caiff data dinasyddion deithio. Mae’r gwahaniaeth rhwng tîm sy’n deall y rhwydwaith ac un sy’n ei anwybyddu yn dangos ei hun mewn ffigurau argaeledd, amseroedd llwytho tudalennau, adroddiadau torri diogelwch, a chanfyddiadau archwilio. Mae’r deunydd hwn yn cysylltu â systemau dosbarthedig (pennod 3.3), graddadwyedd a gwydnwch (pennod 3.5), seilwaith a diogelwch cwmwl (pennod 4.3), a chriptograffeg a rheoli allweddi (pennod 4.8).

Y newyddion da yw nad oes angen i chi feistroli protocolau llwybro i adeiladu systemau gwydn. Mae angen i chi wybod pa haenau sy’n bwysig ar gyfer eich penderfyniadau, o ble mae oedi’n dod, sut mae enwau’n cael eu datrys, sut mae cysylltiadau’n cael eu diogelu a’u cydbwyso, a sut i fethu’n raslon wrth ffin y rhwydwaith. Cael y rheini’n iawn, a bydd y rhan fwyaf o’r rhwydwaith yn dod yn sylfaen ddibynadwy.

Egwyddorion allweddol

Mae’r rhwydwaith yn ddibyniaeth, nid yn rhywbeth i’w gymryd yn ganiataol. Trinwch bob galwad bell fel rhywbeth a all fod yn araf, gollwng, neu ddweud celwydd ynghylch a yw wedi gorffen.
Pennir oedi gan bellter a theithiau dwyffordd. Ni allwch guro cyflymder golau, felly torrwch deithiau dwyffordd a symudwch ddata’n nes at ddefnyddwyr.
Mae enwau’n methu’n amlach na pheiriannau. Mae datrys enwau a thystysgrifau’n achosi cyfran syfrdanol o doriadau gwasanaeth, felly trinwch nhw fel pryderon gweithredol o’r radd flaenaf.
Diogelu a therfynu amgryptio’n fwriadol. Gwybyddwch yn union lle mae traffig yn cael ei amgryptio, lle mae’n cael ei ddadgryptio, a phwy sy’n dal yr allweddi.
Mae angen terfyn amser a chynllun wrth gefn ar bob ffin rwydwaith. Mae disgwyl diderfyn ac ailgeisio dall yn troi un ddibyniaeth araf yn doriad gwasanaeth byd-eang.
Diofyn i wrthod ar yr ymylon. Segmentwch rwydweithiau, rheolwch beth all adael, a chymerwch yn ganiataol fod y perimedr eisoes yn dyllog.
Arsylwch y cysylltiad, nid dim ond y cod. Mae gwallau cysylltiad, aildrosglwyddiadau, amseroedd ysgwyd llaw, ac oedi DNS yn signalau y mae eich cofnodion fel arfer yn eu colli.

Argymhellion

Deall yr haenau sydd wir yn effeithio ar eich penderfyniadau

Nid oes angen i chi gofio’r model saith haen llawn ar eich cof, ond mae angen map meddyliol arnoch. Yn yr haen drafnidiaeth, mae Protocol Rheoli Trosglwyddo (TCP) yn rhoi ffrwd beitiau drefnus, ddibynadwy i chi ar draul ysgwyd llaw a rhwystro pen-y-rhes, tra bo’r Protocol Datagram Defnyddiwr (UDP) yn rhoi datagramau rhad, diamserlen i chi heb warant traddodi. Mae traffig cais/ymateb dibynadwy yn teithio ar TCP; mae cyfryngau amser real, gemau, a rhywfaint o delemetreg yn teithio ar UDP oherwydd bod pecyn hwyr yn waeth na phecyn a gollwyd.

Mae esblygiad y Protocol Trosglwyddo Hypertestun (HTTP) yn newid eich nenfwd perfformiad. Mae HTTP/1.1 yn trin un cais y cysylltiad ar y tro, felly mae porwyr yn agor cysylltiadau lluosog ac rydych yn talu am ysgwyd llaw dro ar ôl tro. Mae HTTP/2 yn amlblecsu llawer o ffrydiau dros un cysylltiad TCP, sy’n dileu rhwystro pen-y-rhes ar lefel y cymhwysiad ond nid ar lefel TCP: mae un pecyn a gollwyd yn stopio pob ffrwd ar y cysylltiad hwnnw. Mae HTTP/3 yn rhedeg dros QUIC, trafnidiaeth seiliedig ar UDP sy’n rhoi traddodi annibynnol i bob ffrwd, sefydlu cysylltiad cyflymach, a mudo cysylltiadau ar draws newidiadau rhwydwaith. Anaml y byddwch yn gweithredu’r rhain eich hun, ond rydych yn eu dewis yn eich cydbwyswyr llwyth, eich rhwydwaith traddodi cynnwys, a’ch cleientiaid, ac mae’r dewis yn dangos ei hun mewn oedi cynffon.

Trinwch DNS a thystysgrifau fel systemau cynhyrchu

Mae’r System Enwau Parth (DNS) yn cyfieithu enwau dynol yn gyfeiriadau, ac mae’n eistedd o flaen bron pob cais. Mae nifer syfrdanol o doriadau gwasanaeth mawr yn olrhain yn ôl i DNS: newid cofnod gwael, parth wedi dod i ben, datrysydd wedi’i gam-ffurfweddu, haen storio dros dro yn cyflenwi atebion hen, neu weinydd awdurdodol araf yn ychwanegu cannoedd o filieiliadau at y beit cyntaf. Trinwch newidiadau DNS gyda’r un trylwyredd â defnyddio cod. Defnyddiwch werthoedd amser-i-fyw (TTL) synhwyrol fel y gallwch symud traffig yn gyflym yn ystod digwyddiad heb wahodd storio dros dro hen mewn gweithrediad arferol, a monitro oedi datrys a chyfraddau methiant fel metrigau go iawn.

Mae tystysgrifau’n haeddu’r un difrifoldeb. Pan fydd tystysgrifau Diogelwch Haen Drafnidiaeth (TLS) yn dod i ben heb yn wybod, mae gwasanaethau cyfan yn diffodd ar unwaith, ac nid yw’r methiant yn edrych o gwbl fel nam cod. Awtomeiddiwch gyhoeddi ac adnewyddu, dilynwch ddyddiadau dod i ben yn ganolog, a rhybuddiwch ymhell cyn y dyddiad cau. Penderfynwch yn fwriadol lle mae TLS yn terfynu: wrth y cydbwysydd llwyth ymylol, wrth ddirprwy, neu’r holl ffordd i’r gwasanaeth. Mae terfynu wrth yr ymyl yn symleiddio traffig mewnol ond yn gadael y naid fewnol heb ei hamgryptio oni bai eich bod yn ailamgryptio. Ymdrinnir ag awdurdodau tystysgrifau, cylchdroi allweddi, a dewisiadau seiffr ym mhennod 4.8; y pwynt gweithredol yma yw bod DNS a thystysgrifau’n methu’n ddistaw ac yn mynd â phopeth gyda nhw, felly offerynwch ac awtomeiddiwch y ddau.

Cydbwyswch lwyth yn yr haen gywir a rhowch ddirprwyon ar waith

Mae cydbwyso llwyth yn lledaenu traffig ar draws llawer o gefnau, ac mae lle rydych chi’n ei wneud yn bwysig. Mae cydbwysydd llwyth haen 4 (L4) yn llwybro yn ôl cyfeiriad IP a phorth heb ddarllen y llwyth tâl, felly mae’n gyflym, yn amholiticaidd o ran protocol, ac yn rhad. Mae cydbwysydd llwyth haen 7 (L7) yn deall HTTP, felly gall lwybro yn ôl llwybr neu bennawd, terfynu TLS, ailgeisio ceisiadau idempotent, a gorfodi terfynau cyfradd, ar draul mwy o waith fesul cais. Mae’r rhan fwyaf o draffig cymwysiadau eisiau dirprwy gwrthdro L7 neu borth API wrth yr ymyl, gan roi un lle i chi drin TLS, dilysu, llwybro, ac arsylladwyedd. Cadwch L4 ar gyfer trwybwn crai neu brotocolau nad ydynt yn HTTP.

Gwiriadau iechyd sy’n gwneud cydbwyso llwyth yn ddiogel. Ffurfweddwch nhw i adlewyrchu parodrwydd go iawn, nid dim ond bod ‘y broses ar waith’, fel bod cefn na all gyrraedd ei gronfa ddata yn cael ei dynnu o’r cylchdro cyn iddo gyflenwi gwallau, a diferwch gysylltiadau ar adeg defnyddio fel bod ceisiadau sydd ar y gweill yn gorffen. Mae porth API yn canoli pryderon trawsdorri (dilysu, cyfyngu cyfradd, siapio ceisiadau, fersiynu) ond mae’n dod yn ddibyniaeth hollbwysig ac yn dagfa bosibl, felly rhowch iddo’r un gyllideb argaeledd ac arsylladwyedd ag unrhyw wasanaeth craidd.

Symudwch ddata’n nes at ddefnyddwyr gyda CDN ac ymyl

Mae oedi’n cael ei lywodraethu gan amser taith ddwyffordd, ac mae amser taith ddwyffordd yn cael ei lywodraethu gan bellter. Mae rhwydwaith traddodi cynnwys (CDN) yn storio cynnwys dros dro mewn pwyntiau presenoldeb ger defnyddwyr fel bod asedau statig, ac ymatebion deinamig a phersonoledig cynyddol, yn cael eu cyflenwi o ychydig filieiliadau i ffwrdd yn lle ar draws cefnfor. I unrhyw gynnyrch sy’n wynebu defnyddwyr gyda chynulleidfa wedi’i lledaenu’n ddaearyddol, mae CDN yn un o’r buddsoddiadau perfformiad sydd â’r enillion uchaf y gallwch eu gwneud, ac mae’n dyblu fel tarian sy’n amsugno pigau traffig ac ymosodiadau cyfeintiol.

Gwthiwch waith i’r ymyl lle mae’n helpu. Mae terfynu TLS wrth yr ymyl yn torri oedi ysgwyd llaw oherwydd bod y teithiau dwyffordd drud yn digwydd yn agos at y defnyddiwr, ac mae storio ymatebion API dros dro mewn lleoliadau ymylol yn tocio hyd y llwybr ar gyfer ceisiadau cyffredin. Y gyfnewidfa yw dirymu storfa: po agosaf a mwyaf storiedig dros dro yw eich data, anoddaf yw hi i warantu ffresni, felly byddwch yn eglur ynghylch beth a all fod yn hen a pha mor hir. Mae hyn yn cysylltu â’r drafodaeth ar storio dros dro a pherfformiad ym mhennod 3.5.

Gwnewch ffin y rhwydwaith yn wydn yn ddiofyn

Mae pob galwad bell yn fan lle gall y rhwydwaith eich brifo, felly lapiwch bob un yn yr un disgyblaeth. Gosodwch derfyn amser eglur ar bob galwad, oherwydd bydd dibyniaeth sy’n hongian yn disbyddu eich pyllau cysylltiad ac edafedd ac yn stopio popeth y tu ôl iddo. Ailgeisiwch weithrediadau y mae’n ddiogel eu hailadrodd yn unig, defnyddiwch encilio esbonyddol gyda siglo fel nad yw rhic yn dod yn storm ailgeisio gydamseredig, a chapiwch gyfanswm ymgeisiadau a chyfanswm amser. Ychwanegwch dorrwr cylched fel, ar ôl trothwy o fethiannau, eich bod yn methu’n gyflym am gyfnod oeri yn lle pentyrru ceisiadau ar wasanaeth sydd eisoes yn boddi. Ymdrinnir â’r patrymau hyn yn drwyadl ym mhennod 3.3; y pwynt yma yw eu bod yn perthyn i ffin y rhwydwaith yn benodol, gorau po fwyaf fel diofynion platfform a rennir yn hytrach na rhywbeth y mae pob tîm yn ei ailddyfeisio.

Cyllidebwch eich terfynau amser i lawr y gadwyn alwadau. Os oes gan gais sy’n wynebu defnyddwyr gyllideb o ddwy eiliad ac mae’n croesi pedair naid, rhaid i bob naid wybod pa mor fach yw’r amser sy’n weddill a methu’n gyflym yn hytrach nag ailgeisio i’r gwagle. Ailddefnyddiwch gysylltiadau trwy gronni a chadw’n fyw fel nad ydych yn talu am ysgwyd llaw TCP a TLS newydd sbon fesul cais, a gwyliwch oedi cynffon, nid dim ond cyfartaleddau, oherwydd mai’r un y cant araf yw’r hyn y mae defnyddwyr yn ei gofio a’r hyn sy’n rhaeadru dan lwyth.

Dyluniwch a llywodraethwch eich topoleg rwydwaith

Yn y cwmwl, mae eich rhwydwaith yn feddalwedd rydych chi’n ei ffurfweddu, felly ffurfweddwch ef yn fwriadol. Rhowch lwythi gwaith mewn cwmwl preifat rhithwir (VPC) a’i segmentu: haenau sy’n wynebu’r cyhoedd, haenau cymwysiadau, a haenau data mewn is-rwydi ar wahân gyda rheolau sy’n caniatáu dim ond y traffig a ddylai fodoli. Rheolwch allanfa mor fwriadol â mynedfa. Mynediad allanol na reolir yw’r ffordd y mae data’n gadael yn ystod toriad diogelwch a’r ffordd y mae llwythi gwaith sydd wedi’u peryglu’n cyrraedd gweinyddion gorchymyn-a-rheoli, felly llwybrwch draffig allanol trwy byrth a reolir a rhestr-ganiatáu’r cyrchfannau y mae gwir angen eu cyrraedd. Cynlluniwch ar gyfer IPv6 yn hytrach na’i drin fel ôl-ystyriaeth, oherwydd bydd disbyddu cyfeiriadau a gofynion partneriaid yn ei orfodi yn y pen draw ac mae ôl-osod yn boenus.

Mabwysiadwch fodel diogelwch ymddiriedaeth sero: peidiwch â thrin ‘y tu mewn i’r rhwydwaith’ fel rhywbeth y gellir ymddiried ynddo mwyach, a dilyswch ac awdurdodwch bob cais ar sail hunaniaeth yn hytrach na lleoliad rhwydwaith. Yn ymarferol, mae hyn yn golygu TLS cydfuddiannol rhwng gwasanaethau, tystlythyrau byrhoedlog, a pholisi nad yw’n tybio bod cais yn ddiogel dim ond am ei fod wedi dod o is-rwyd cyfagos. Gall gwe wasanaeth gyflenwi llawer o hyn yn gyson. Trwy redeg dirprwy ochr-gerbyd ochr yn ochr â phob gwasanaeth, mae gwe’n rhoi TLS cydfuddiannol, ailgeisiadau a therfynau amser cyson, a thelemetreg fesul naid i chi heb newid cod cymwysiadau. Mae’n ychwanegu cymhlethdod gweithredol a rhywfaint o oedi, felly mabwysiadwch ef pan fydd nifer eich gwasanaethau’n gwneud gorfodaeth gyson, ddi-god yn werth y baich ychwanegol. Datblygir ymddiriedaeth sero a segmentu ymhellach ym mhenodau 4.3 ac 8.3.

Cyfaddawdau: manteision ac anfanteision

Penderfyniad	Manteision	Anfanteision / cost
Cydbwysydd llwyth L7 / porth API	Llwybro clyfar, terfynu TLS, dilysu, cyfyngu cyfradd, arsylladwyedd	Mwy o oedi fesul cais, dibyniaeth a rennir hollbwysig
Cydbwysydd llwyth L4	Cyflym, amholiticaidd o ran protocol, rhad	Ni all weld na gweithredu ar HTTP, dim llwybro ymwybodol o gynnwys
Terfynu TLS ymylol	Ysgwyd llaw cyflymach, cefnau symlach	Naid fewnol heb ei hamgryptio oni bai eich bod yn ailamgryptio
CDN a storio ymylol dros dro	Ennill mawr o ran oedi, yn amsugno pigau ac ymosodiadau	Dirymu storfa a hendra, cost a ffurfweddiad ychwanegol
Gwe wasanaeth	mTLS cyson, ailgeisiadau, telemetreg heb newid cymwysiadau	Cymhlethdod gweithredol, oedi ochr-gerbyd a chost adnoddau
HTTP/3 dros QUIC	Dim rhwystro pen-y-rhes trafnidiaeth, sefydlu cyflym, mudo cysylltiadau	Offer mwy newydd, weithiau mae UDP yn cael ei dagu, anos ei ddadfygio

Y prif densiwn yw rhwng rheolaeth a symlrwydd. Mae pob cydran alluog rydych yn ei hychwanegu wrth ffin y rhwydwaith (porth L7, gwe, CDN, dirprwy allanfa) yn prynu deallusrwydd llwybro, gorfodaeth ddiogelwch, a gwelededd i chi, ac mae pob un hefyd yn ychwanegu naid, modd methiant, a rhywbeth i’w weithredu. Datryswch hyn trwy wthio pryderon a rennir i seilwaith a rennir dim ond pan fydd digon o dimau eu hangen i gyfiawnhau’r baich gweithredol, a thrwy gadw’r llwybr cyflym yn fyr. Mae busnes newydd dau berson sy’n terfynu TLS wrth gydbwysydd llwyth wedi’i reoli ac yn galw hynny’n ddigon yn gwneud cyfnewidfa well na’r un tîm yn llunio gwe wasanaeth â llaw. Mae menter mil o wasanaethau heb TLS cydfuddiannol cyson a rheolaeth allanfa yn gwneud un waeth.

Cwestiynau i’w trafod gyda’ch tîm

Lle mae TLS yn terfynu ym mhob un o’ch llwybrau cais, ac a all pawb ei dynnu yr un ffordd? Mae hyn yn swnio fel manylion dibwys nes bydd digwyddiad. Os yw hanner y tîm yn credu bod traffig wedi’i amgryptio o ben i ben a bod yr hanner arall yn gwybod ei fod yn cael ei ddadgryptio wrth yr ymyl ac yn cael ei anfon mewn testun plaen i’r cefn, mae gennych fwlch diogelwch a magl ddadfygio ill dau. I sefydliad mawr, mae’r cwestiwn hwn yn mapio’n uniongyrchol i gydymffurfiaeth: bydd rheoleiddwyr ac archwilwyr yn gofyn lle mae data dinasyddion neu gwsmeriaid yn teithio’n glir, ac mae ‘dydyn ni ddim yn siŵr’ yn ganfyddiad archwilio. Dewch â diagram gwirioneddol o un llwybr go iawn o’r cleient i’r gronfa ddata, gan nodi pob pwynt lle mae amgryptio’n dechrau ac yn stopio a phwy sy’n dal pob tystysgrif ac allwedd. Dylai’r ateb ddweud wrthych a oes angen ailamgryptio mewnol arnoch, lle mae TLS cydfuddiannol yn perthyn, a pha dystysgrifau a fyddai’n dymchwel gwasanaeth pe baent yn dod i ben. Os na all neb ei dynnu’n hyderus, y bwlch hwnnw yw eich tasg gyntaf.
Beth sy’n digwydd i’ch system pan fydd DNS yn araf neu’n anghywir, ac a ydych chi wedi ei brofi go iawn? Mae DNS yn uwch i fyny na bron pob cais, ac eto nid yw’r rhan fwyaf o dimau erioed wedi arsylwi eu system dan ddirywiad DNS. Mae datrysydd araf yn ychwanegu oedi at bob cysylltiad newydd, gall storfa hen anfon traffig at westeiwr sydd wedi’i ddadgomisiynu, a gall newid cofnod gwael dwll-ddu gwasanaeth cyfan mewn eiliadau. Mewn menter fawr mae radiws y ffrwydrad yn ehangach oherwydd bod darganfod gwasanaeth mewnol, integreiddiadau partneriaid, a phwyntiau terfyn cwmwl i gyd yn dibynnu ar ddatrys enwau. Dewch â’ch gosodiadau TTL DNS, eich metrigau oedi datrys os oes gennych chi rai, a’r llawlyfr gweithdrefnau ar gyfer newid cofnod gwael, yna gofynnwch pa mor gyflym y gallech chi wir symud traffig yn ystod digwyddiad. Dylai’r ateb lywio a ydych yn monitro datrys fel metrig o’r radd flaenaf, yn tiwnio TTLs ar gyfer ystwythder ac effeithlonrwydd storfa fel ei gilydd, ac yn ymarfer methu drosodd DNS. Os nad ydych erioed wedi ysgogi methiant DNS mewn prawf a reolir, mae’r arbrawf hwnnw’n perthyn ar y calendr.
Pa batrymau gwydnwch wrth ffin y rhwydwaith sy’n ddiofynion platfform, a pha rai y mae pob tîm yn eu hailddyfeisio? Mae terfynau amser, ailgeisiadau cyfyngedig gyda siglo, torwyr cylched, cronni cysylltiadau, ac olrhain fesul naid rataf a mwyaf dibynadwy pan gânt eu hadeiladu unwaith a’u hetifeddu gan bawb. Wedi’u gadael i dimau unigol, maen nhw’n crwydro: nid oes gan rai galwadau derfyn amser, mae rhai’n ailgeisio gweithrediadau nad ydynt yn idempotent, nid yw rhai’n allyrru telemetreg lefel cysylltiad, ac nid yw’r bylchau’n ymddangos ond dan lwyth. I dîm mawr, dewis sefydliadol yw hwn ynghylch lle mae gwydnwch yn byw, mewn llyfrgell a rennir neu haen platfform yn erbyn ei wasgaru ar draws gwasanaethau. Dewch ag archwiliad o sampl o wasanaethau sy’n cyfrif faint sy’n gosod terfyn amser eglur ar bob galwad bell ac yn lledaenu dynodwr cydberthyniad o ben i ben. Os yw’r nifer hwnnw’n isel, buddsoddiad platfform yw’r ateb, ac mae ei safoni hefyd yn gwneud gwydnwch yn brofadwy ac yn archwiliadwy, sy’n bwysicach o hyd mewn sectorau a reoleiddir. Dylai’r ateb ddweud wrthych a ddylech ariannu gallu platfform rhwydweithio neu barhau i dalu am anghysondeb mewn digwyddiadau.
Beth all pob un o’ch llwythi gwaith ei gyrraedd ar y rhyngrwyd gyhoeddus ar hyn o bryd, a phwy a gymeradwyodd bob un o’r cyrchfannau allanol hynny? Mae mynedfa’n cael y sylw am mai dyna lle mae ymosodwyr yn curo, ond allanfa yw’r ffordd y mae data mewn gwirionedd yn gadael yn ystod toriad diogelwch a’r ffordd y mae llwyth gwaith sydd wedi’i beryglu’n ffonio adref i weinydd gorchymyn-a-rheoli. Gall y rhan fwyaf o dimau restru’r hyn sy’n siarad â nhw’n llawer haws na’r hyn y maen nhw’n siarad ag ef, a’r anghymesuredd hwnnw yw’n union y bwlch y mae ymosodwr yn ei ecsbloetio. Yr ystyriaeth sy’n cystadlu yw ffrithiant: mae rhestr-ganiatáu o gyrchfannau cymeradwy yn arafu datblygwyr sydd eisiau galw API trydydd parti newydd heddiw, felly’r ddadl onest yw faint o gyfleustra rydych yn ei gyfnewid am radiws ffrwydrad llai. Dewch â’r rheolau allanol cyfredol ar gyfer gwasanaeth cynrychioliadol, cofnod o ble y cysylltodd mewn gwirionedd dros yr wythnos ddiwethaf, a’r broses (os oes un) ar gyfer cymeradwyo cyrchfan newydd. I systemau menter a llywodraeth, nid hylendid dewisol yw hwn ond eitem llinell archwilio: mae diogelu ffiniau a rhestrau eiddo allanfa yn union yr hyn y mae rheoleiddwyr a rheolau ffin-rwydwaith yn ei gwneud yn ofynnol i chi eu cynhyrchu, ac mae ‘gall unrhyw lwyth gwaith gyrraedd unrhyw le’ yn ganfyddiad y dywedir wrthych am ei unioni.
A yw eich terfynau amser a’ch ailgeisiadau’n cyfansoddi’n un gyllideb gydlynol i lawr pob cadwyn alwadau, neu a yw pob naid yn dyfalu ar wahân? Mae gan gais sy’n wynebu defnyddwyr sy’n croesi pedwar gwasanaeth un terfyn amser y mae’r defnyddiwr yn ei deimlo mewn gwirionedd, ac eto mae pob naid fel arfer yn gosod ei therfyn amser ei hun yn lleol, yn ailgeisio i wasanaeth sydd eisoes wedi rhoi’r gorau iddi, ac yn chwythu’r gyllideb o ben i ben wrth wneud gwaith ychwanegol. I dîm mawr mae’r perygl yn dod i’r amlwg: mae terfynau amser fesul gwasanaeth sy’n rhesymol yn unigol yn cyfansymio’n stopiadau rhaeadrol a stormydd ailgeisio cydamseredig na all yr un tîm eu gweld o’i ddangosfwrdd ei hun. Y tensiwn yw rhwng ymreolaeth leol, lle mae pob tîm yn tiwnio ei derfynau ei hun, a therfyn amser wedi’i ledaenu y mae pob naid yn ei ddarllen ac yn ei fyrhau wrth i amser gael ei dreulio. Dewch â llwybr cais go iawn gyda’r polisi terfyn amser ac ailgeisio ym mhob naid, y gyllideb o ben i ben y mae’r cynnyrch yn ei addo, a’ch ffigurau oedi cynffon (p99, nid y cyfartaledd) dan lwyth. Mewn cyd-destunau a reoleiddir ac argaeledd uchel, cysylltwch hyn â’ch amcanion adfer: mae cadwyn na all fethu’n gyflym o fewn ei chyllideb yn troi un ddibyniaeth araf yn amcan lefel gwasanaeth wedi’i dorri, a’r toriad hwnnw yw’r ffigur y bydd arweinyddiaeth ac archwilwyr yn gofyn i chi ei esbonio.
Ar ba nifer o wasanaethau a pha broffil traffig y mae gorfodaeth gyson (gwe wasanaeth, porth L7, storio ymylol dros dro) yn ennill ei baich gweithredol, a lle rydych chi ar y gromlin honno heddiw? Mae pob cydran alluog rydych yn ei hychwanegu wrth ffin y rhwydwaith yn prynu deallusrwydd llwybro, diogelwch, a gwelededd, ac mae pob un hefyd yn ychwanegu naid, modd methiant, a rhywbeth i’w weithredu rownd y cloc. Mabwysiadwch we yn rhy gynnar a byddwch yn boddi llond dwrn o wasanaethau mewn cymhlethdod ochr-gerbyd; mabwysiadwch hi’n rhy hwyr a bydd gennych fil o wasanaethau heb TLS cydfuddiannol cyson na ailgeisiadau cyson. Yr ystyriaethau sy’n cystadlu yw gwerth gorfodaeth gyson, ddi-god ar draws llawer o dimau yn erbyn cost wirioneddol rhedeg yr awyren reoli, yr oedi ychwanegol, a phrinder pobl a all ei ddadfygio. Dewch â’ch nifer gwasanaethau cyfredol a’ch cromlin twf, y gyfran o wasanaethau sydd eisoes ar gleientiaid a rennir sy’n darparu’r un gwarantau, a’r lle oedi sydd gennych i’w wario. I fenter neu asiantaeth fawr, mae’r penderfyniad hefyd yn un llywodraethu: mae gwe neu borth canolog yn caniatáu i dîm platfform gyflwyno polisi ym mhobman ar unwaith, sy’n rymus ar gyfer cydymffurfiaeth ac yn beryglus os yw’r pwynt cyfyng hwnnw’n cael ei danadnoddi, felly cyllidebwch ef fel seilwaith craidd gyda’i darged argaeledd ei hun, nid fel prosiect ochr.

Trwy lygaid pob sector

Busnes newydd. Pwyswch ar seilwaith a reolir a threuliwch eich sylw peirianneg prin ar gynnyrch, nid pecynnau. Mae cydbwysydd llwyth L7 a reolir sy’n terfynu TLS gyda thystysgrifau sy’n adnewyddu’n awtomatig, ynghyd â CDN o flaen eich cymhwysiad, yn prynu traffig wedi’i amgryptio, wedi’i gydbwyso o ran llwyth, ac yn gyflym yn fyd-eang i chi heb dîm gweithrediadau. Lapiwch bob galwad allanol mewn cleient bach a rennir gyda therfyn amser ac ailgeisio cyfyngedig, a gwrthsefwch we wasanaeth nes bod gennych lawer mwy o wasanaethau na phobl i’w rhedeg.

Busnes bach. Nid oes gennych arbenigwr rhwydwaith a chyllideb dynn, felly trinwch gysylltedd fel rhywbeth rydych yn ei brynu wedi’i ffurfweddu yn hytrach na’i adeiladu. Dewiswch ddarparwr cwmwl neu blatfform y mae ei ddiofynion eisoes yn rhoi tystysgrifau awtomataidd, rheoli DNS, a wal dân synhwyrol i chi, a throwch ymlaen yr hyn y maen nhw’n ei gynnig yn hytrach na’i gydosod eich hun. Lle mae’n rhaid i chi benderfynu, ffafriwch yr opsiwn a reolir: mae talu gwerthwr i adnewyddu tystysgrifau a monitro DNS yn llawer rhatach na’r toriad gwasanaeth y mae dyddiad dod i ben anghofiedig yn ei achosi.

Menter. Eich problem yw cysondeb ar draws llawer o dimau a rhanbarthau: TLS cydfuddiannol cyson, terfynau amser ac ailgeisiadau safonol, allanfa a reolir, a monitro tystysgrifau a DNS na all yr un tîm ei osgoi. Gwthiwch y rhain i seilwaith platfform a rennir (gwe wasanaeth, porth mewnol, llyfrgell gleient a rennir) fel bod gwydnwch yn cael ei etifeddu yn hytrach na’i ailddyfeisio, a rheolwch ffin y rhwydwaith gyda’r un gyllideb argaeledd ac arsylladwyedd ag unrhyw wasanaeth craidd. Segmentwch VPCs, llywodraethwch allanfa’n ganolog, a thrinwch topoleg fel meddalwedd rydych yn ei harchwilio.

Llywodraeth. Mae rheolau caffael, tryloywder, ac atebolrwydd cyhoeddus yn siapio pob ffin. Sianelwch draffig sy’n mynd am y rhyngrwyd trwy set fach o byrth wedi’u caledu a’u monitro, cadwch restr eiddo o bob pwynt terfyn allanol, a rhedwch bensaernïaeth ymddiriedaeth sero lle mae gwasanaethau’n dilysu yn ôl hunaniaeth gyda thystlythyrau byrhoedlog yn hytrach na lleoliad rhwydwaith. Trinwch reoli DNS a thystysgrifau fel seilwaith hollbwysig gyda monitro pwrpasol, oherwydd bod un dystysgrif ddod i ben ar wasanaeth sy’n wynebu dinasyddion yn gwahodd craffu cyhoeddus a deddfwriaethol fel ei gilydd, a chadwch y dystiolaeth yn archwiliadwy fel bod adolygiadau diogelu ffiniau’n canfod cynllun wedi’i ddogfennu ac y gellir ei amddiffyn.

Enghreifftiau

Busnes newydd. Mae cwmni meddalwedd-fel-gwasanaeth deg person yn rhedeg popeth y tu ôl i un cydbwysydd llwyth L7 a reolir sy’n terfynu TLS gyda thystysgrifau sy’n adnewyddu’n awtomatig, ac mae’n rhoi CDN o flaen ei gymhwysiad gwe a’i API. Mae’r cyfuniad hwnnw’n rhoi llwythi tudalen byd-eang cyflym iddyn nhw, yn amsugno’r pigyn traffig achlysurol o lansiad cynnyrch, ac yn diogelu eu tarddiad heb dîm gweithrediadau pwrpasol. Maen nhw’n gosod terfyn amser eglur ac ailgeisio cyfyngedig ar bob galwad i’w darparwr taliadau a’u gwasanaeth e-bost, wedi’u lapio mewn cleient bach a rennir, fel na fydd trydydd parti araf byth yn hongian cais defnyddiwr. Maen nhw’n gwrthsefyll ychwanegu gwe wasanaeth: gyda dwsin o wasanaethau, byddai’r gost weithredol yn gorbrisio’r budd o lawer, ac mae seilwaith a reolir eisoes yn rhoi traffig wedi’i amgryptio, wedi’i gydbwyso o ran llwyth iddyn nhw.

Menter. Mae manwerthwr rhyngwladol yn rhedeg ar draws tri rhanbarth cwmwl a chanolfan ddata etifeddol ar y safle, wedi’u cysylltu gan gysylltiadau preifat yn hytrach na’r rhyngrwyd gyhoeddus fel na fydd traffig stoc a thaliadau byth yn croesi rhwydweithiau agored. Mae pob rhanbarth yn eistedd mewn VPC segmentedig gydag is-rwydi cyhoeddus, cymhwysiad, a data ar wahân, ac mae’r holl draffig allanol yn llifo trwy byrth allanfa sy’n rhestr-ganiatáu cyrchfannau cymeradwy, fel na all lwyth gwaith sydd wedi’i beryglu allfudo data’n dawel. Mae cannoedd o wasanaethau’n cyfathrebu trwy we wasanaeth sy’n gorfodi TLS cydfuddiannol ym mhobman ac yn cymhwyso ailgeisiadau, terfynau amser, ac olrhain cyson, gan adael i dîm platfform canolog gyflwyno polisi ailgeisio newydd heb gyffwrdd â chod cymwysiadau. Mae monitro tystysgrifau canolog yn fflagio dyddiadau dod i ben ddyddiau ymlaen llaw ac mae awtomeiddio’n eu cylchdroi cyn i unrhyw gwsmer sylwi.

Llywodraeth. Mae asiantaeth genedlaethol yn gweithredu o dan reolau diogelu ffin rwydwaith sy’n sianelu’r holl draffig sy’n mynd am y rhyngrwyd trwy set fach o byrth wedi’u caledu a’u monitro, yn gyson â’r model cysylltiadau rhyngrwyd ymddiriedol. Mae traffig rhwng asiantaethau’n rhedeg dros gysylltiadau preifat, ac mae rhestr eiddo o bob pwynt terfyn allanol, fel bod timau diogelwch yn gwybod yn union beth all fynd i mewn ac allan. Mae’r asiantaeth yn rhedeg pensaernïaeth ymddiriedaeth sero lle mae gwasanaethau’n dilysu ei gilydd yn ôl hunaniaeth gyda thystlythyrau byrhoedlog, ac nid oes yr un cais yn cael ei ymddiried ynddo dim ond am iddo darddu y tu mewn i’r perimedr. Trinnir rheoli DNS a thystysgrifau fel seilwaith hollbwysig gyda monitro pwrpasol, oherwydd y gallai un dystysgrif ddod i ben neu newid parth gwael ddiffodd porth buddion sy’n wynebu dinasyddion a chynhyrchu craffu cyhoeddus a deddfwriaethol fel ei gilydd.

Achos busnes: cymhellion, ROI, a TCO

Prynir disgyblaeth rhwydweithio’n rhad, a thelir am ei habsenoldeb ar yr adeg waethaf bosibl. Mae’r buddsoddiad yn bennaf yn un-tro ac ar siâp platfform: cleientiaid a rennir gyda therfynau amser ac ailgeisiadau, rheoli tystysgrifau awtomataidd, monitro DNS, VPC wedi’i segmentu’n synhwyrol, a storio ymylol dros dro. Mae pob un o fudd i bob tîm sy’n ei etifeddu, felly mae’r gost ymylol fesul tîm yn isel tra bo’r enillion yn cyfansymio. Mae CDN yn arbennig yn aml yn talu amdano’i hun ddwywaith, gan dorri costau lled band tarddiad tra’n gwella’r ffigurau trosi ac ymgysylltu sy’n dilyn o lwythi tudalen cyflymach.

Mesurir cost hepgor y gwaith hwn mewn toriadau gwasanaeth a thoriadau diogelwch. Gall tystysgrif sydd wedi dod i ben neu newid DNS gwael ddiffodd cynnyrch cyfan mewn munudau, gyda’r ateb yn cael ei oedi tra bo peirianwyr yn hela’r haen anghywir. Gall terfyn amser coll raeadru un ddibyniaeth araf yn stop platfform llawn. Mae allanfa na reolir yn troi un llwyth gwaith sydd wedi’i beryglu’n ddigwyddiad allfudo data. Fframiwch yr achos i arweinyddiaeth mewn termau y maen nhw eisoes yn eu tracio: argaeledd, amser cymedrig i adfer, amser llwytho tudalen, a risg toriad diogelwch. Mae rheoli tystysgrifau a DNS awtomataidd yn atal categori o doriadau gwasanaeth hunan-achosedig, mae buddsoddiad ymylol a CDN yn symud metrig perfformiad cynnyrch, ac mae segmentu a rheolaeth allanfa’n lleihau radiws ffrwydrad toriad diogelwch. Y ddadl cost-perchnogaeth-cyfan yw’r un sy’n ailymddangos trwy gydol y canllaw hwn: mae adeiladu’r gallu i mewn yn ffracsiwn o gost ei ôl-osod ar ôl y digwyddiad sy’n gorfodi’r mater.

Gwrth-batrymau a pheryglon

Tybio bod y rhwydwaith yn ddibynadwy ac yn gyflym. Codio fel pe bai galwadau pell yn lleol, heb derfynau amser, heb ailgeisiadau, a heb drin ar gyfer ‘daeth i ben ond efallai wedi cwblhau’.
Rheoli tystysgrifau â llaw. Tracio dyddiad dod i ben mewn taenlen neu gof rhywun, gan warantu toriad gwasanaeth yn y pen draw pan fydd yn dod i ben heb yn wybod.
Anwybyddu DNS fel system weithredol. Dim monitro datrys, TTLs esgeulus, a newidiadau cofnod a wneir heb drylwyredd defnyddio.
Ailgeisio heb idempotens nac encilio. Sgil-effeithiau dyblyg a stormydd ailgeisio cydamseredig sy’n chwyddo rhic fach yn doriad gwasanaeth.
Ymddiried yn y rhwydwaith mewnol. Trin unrhyw beth y tu mewn i’r perimedr fel diogel, gyda thraffig mewnol heb ei amgryptio a dim awdurdodi seiliedig ar hunaniaeth.
Allanfa na reolir. Caniatáu i lwythi gwaith gyrraedd unrhyw gyrchfan allanol, gan roi llwybr allfudo a sianel i weinyddion gorchymyn i ymosodwyr.
Llwybrau cais siaradus. Cadwyni galwadau cydamserol dwfn lle mae pob naid yn ychwanegu taith ddwyffordd, fel bod oedi cynffon yn chwyddo dan lwyth.
Mabwysiadu gwe wasanaeth yn rhy gynnar. Ysgwyddo cymhlethdod ac oedi ochr-gerbyd ar gyfer llond dwrn o wasanaethau y byddai cleient a rennir yn eu gwasanaethu’n well.

Model aeddfedrwydd

Lefel 1, Cychwyn: Trinnir galwadau pell fel galwadau lleol. Mae terfynau amser ac ailgeisiadau ar goll neu’n naïf, ac nid yw ‘daeth i ben ond efallai wedi cwblhau’ yn cael ei drin. Rheolir tystysgrifau a DNS â llaw ac maent yn achosi toriadau gwasanaeth annisgwyl. Nid oes segmentu, ac ymddiriedir mewn traffig mewnol yn ddiofyn. Mae gwaith cysylltedd yn adweithiol, yn digwydd dim ond ar ôl i ddigwyddiad ei orfodi.
Lefel 2, Datblygu: Mae rhai timau wedi mabwysiadu arferion sylfaenol, ond maent yn anghyson ar draws gwasanaethau. Mae terfynau amser ac ailgeisiadau syml yn bodoli mewn mannau, mae TLS yn cael ei derfynu wrth gydbwysydd llwyth, ac mae tystysgrifau’n cael eu hawtomeiddio ar y cyfan. Mae CDN yn wynebu cynnwys statig ac mae segmentu rhwydwaith sylfaenol yn bodoli, er bod allanfa’n agored i raddau helaeth a bod pob tîm yn dyfeisio ei gleient ei hun. Yr hyn y mae un tîm yn ei wneud yn dda, nid yw tîm arall wedi dechrau arno.
Lefel 3, Safoni: Mae rhwydweithio gwydn wedi’i ddogfennu a’i orfodi ledled y sefydliad. Mae terfynau amser, encilio gyda siglo, a thorwyr cylched yn safonol trwy lyfrgelloedd a rennir neu borth y mae pob tîm yn ei etifeddu. Monitorir ac awtomeiddir DNS a thystysgrifau fel systemau cynhyrchu, segmentir VPCs gyda mynedfa ac allanfa a reolir, casglir telemetreg lefel cysylltiad ym mhobman, a mabwysiedir egwyddorion ymddiriedaeth sero fel polisi yn hytrach nag fel arbrawf un tîm.
Lefel 4, Rheoli: Mesurir a rheolir ffin y rhwydwaith yn erbyn llinellau sylfaen, nid dim ond ei safoni. Caiff oedi datrys, amser ysgwyd llaw TLS, cyfraddau aildrosglwyddo a gwallau cysylltiad, oedi cynffon (p99, nid y cyfartaledd), amser arweiniol dod i ben tystysgrifau, a thoriadau polisi allanfa eu tracio ar ddangosfyrddau gyda throthwyon rhybudd a chyllidebau gwallau. Mae penderfyniadau mynd/peidio â mynd a chapasiti’n cael eu llywio gan y data hwnnw, cynhelir ymarferion methiant DNS a dibyniaeth wedi’u hysgogi yn ôl amserlen a mesurir eu canlyniadau, a chaiff atchweliad mewn unrhyw signal ei ddal a’i berchnogi yn hytrach na’i ddarganfod yn y toriad gwasanaeth nesaf.
Lefel 5, Cydgordio: Rhwydweithio gwydn yw’r diofyn platfform sy’n cael ei wella’n barhaus, wedi’i integreiddio ar draws y sefydliad ac yn addasol i newid. Mae TLS cydfuddiannol ac awdurdodi seiliedig ar hunaniaeth yn gyson, yn aml trwy we wasanaeth; caiff strategaeth ymylol a CDN ei thiwnio yn erbyn data oedi byw; llywodraethir allanfa’n llawn; ac ailgydbwysir dewisiadau topoleg, darparwr, a llwybro wrth i gost, risg, a thraffig newid. Mae penderfyniadau rhwydweithio wedi’u gwau i mewn i gynllunio capasiti, diogelwch, a busnes, ac mae’r sefydliad yn rhesymu’n eglur am deithiau dwyffordd, oedi cynffon, a moddau methiant ffiniau fel mater o drefn.

Syniadau i’w trafod

Pe bai eich prif ddarparwr neu ddatrysydd DNS yn dirywio am awr, faint o’ch system a fyddai’n dal i weithio, a sut y byddech chi’n gwybod?
Pa rai o’ch gwasanaethau sy’n dal i anfon traffig heb ei amgryptio unwaith y mae ‘y tu mewn’ i’r rhwydwaith, a beth fyddai ei angen i gau’r bwlch hwnnw?
Ble mae’r cadwyni galwadau cydamserol dyfnaf yn eich pensaernïaeth, a faint o deithiau dwyffordd rhwydwaith y mae cais defnyddiwr nodweddiadol yn eu hachosi mewn gwirionedd?
A yw eich terfynau amser yn cyfansoddi i lawr y gadwyn alwadau’n gyllideb gydlynol, neu a yw pob haen yn gosod ei un ei hun ac yn gobeithio?
Beth all eich llwythi gwaith ei gyrraedd ar y rhyngrwyd gyhoeddus ar hyn o bryd, a phwy a gymeradwyodd bob un o’r cyrchfannau allanol hynny?
Ar ba nifer o wasanaethau y byddai gorfodaeth gyson gwe wasanaeth yn gorbwyso ei chost weithredol i’ch sefydliad, a pha mor agos ydych chi?

Casgliadau allweddol

Mae’r rhwydwaith yn ddibyniaeth â’i moddau methiant ei hun; dyluniwch bob galwad bell ar gyfer arafwch, colled, ac amwysedd cwblhau, nid dim ond llwyddiant neu fethiant glân.
Llywodraethir oedi gan deithiau dwyffordd a phellter, felly torrwch naidau, ailddefnyddiwch gysylltiadau, a symudwch ddata’n nes at ddefnyddwyr gyda CDN ac ymyl.
Mae DNS a thystysgrifau TLS yn methu’n ddistaw ac yn dymchwel gwasanaethau cyfan; awtomeiddiwch a monitrwch y ddau fel systemau cynhyrchu.
Cydbwyswch lwyth yn yr haen sy’n gweddu i’r traffig, a rhowch bryderon a rennir y tu ôl i borth L7 dim ond pan fydd y gost argaeledd ac arsylladwyedd yn cael ei chyfiawnhau.
Gwnewch ffin y rhwydwaith yn wydn yn ddiofyn gyda therfynau amser, ailgeisiadau cyfyngedig gyda siglo, a thorwyr cylched, gorau po fwyaf fel diofynion platfform etifeddol.
Segmentwch eich VPC, llywodraethwch allanfa, cynlluniwch ar gyfer IPv6, a mabwysiadwch ymddiriedaeth sero fel nad yw bod ‘y tu mewn’ i’r rhwydwaith yn rhoi unrhyw ymddiriedaeth awtomatig.

Cyfeiriadau a darllen pellach

W. Richard Stevens, TCP/IP Illustrated, Volume 1: The Protocols
Ilya Grigorik, High Performance Browser Networking
Cricket Liu and Paul Albitz, DNS and BIND
Andrew S. Tanenbaum and David J. Wetherall, Computer Networks
Michael Nygard, Release It!: Design and Deploy Production-Ready Software
Evan Gilman and Doug Barth, Zero Trust Networks: Building Secure Systems in Untrusted Networks
Lee Calcote and Zack Butcher, Istio: Up and Running (service mesh concepts)
Internet Engineering Task Force, RFC 9110 (HTTP Semantics) and RFC 9000 (QUIC)
Peter Deutsch and James Gosling, “The Eight Fallacies of Distributed Computing”
National Institute of Standards and Technology, Special Publication 800-207: Zero Trust Architecture