Сначала определите границы
Разделите роли обычных клиентских устройств, инфраструктурных сервисов и административных интерфейсов. Граница полезна только тогда, когда понятен разрешенный трафик. Проектирование следует начинать с инвентаризации зависимостей: какому клиенту какая служба нужна, какой службе требуется хранилище и какому администратору нужен доступ к управлению.
Сохраняйте рассудительность руководства
Интерфейсы управления должны быть доступны через преднамеренный путь администрирования, а не открываться везде, где разрешен клиентский трафик. Существующая лаборатория использует удаленный доступ; Следующим шагом проектирования является документирование того, куда входит этот доступ, чего он может достичь и как его можно удалить, не теряя пути восстановления.
Учет зависимостей хранилища
TrueNAS и ZFS поддерживают документированную среду хранения, а Linux и рабочие нагрузки контейнера зависят от путей, разрешений и доступности сети. Изменения сегментации должны сохранять эти зависимости. Служба может выглядеть работоспособной, пока ее путь к хранилищу или необходимое сетевое подключение недоступны.
Проверьте как разрешенные, так и запрещенные пути
Будущая матрица тестирования должна включать разрешенное соединение клиента со службой, запрещенное соединение клиента с управлением, одобренное административное соединение и проверку службы с хранилищем. Запишите исходную зону, пункт назначения, протокол, ожидаемый результат, наблюдаемый результат и шаг отката. Эти тесты представляют собой план публикации, а не сообщаемые результаты тестов.
Создайте путь восстановления
Задокументируйте, как восстановить административный доступ перед изменением границ сети. Резервные копии конфигурации, известный метод локального доступа и небольшое изменение с четким откатом упрощают устранение неполадок в конструкции. Измеряйте восстановление во время тренировки, прежде чем представлять результат времени восстановления.
Вынос
Сегментация должна облегчить объяснение доступа и зависимостей. Диаграмма, матрица доступа и наблюдаемые результаты испытаний покажут это более наглядно, чем список сетевых инструментов.
Изучите похожий проект →