Связаться с намиПодключиться
Практические руководства

Архитектура и защита базового интернет-сервиса

Статья создана
Обновлена 9 августа 2024 г.

Вы развернете и настроите инфраструктуру базового интернет-сервиса с несколькими виртуальными машинами. Доступ к ВМ будет ограничен с помощью групп безопасности. Нагрузка по серверам с веб-приложениями будет распределяться сетевым балансировщиком.

Чтобы создать инфраструктуру для интернет-сервиса:

  1. Подготовьте облако к работе.
  2. Подготовьте сетевую инфраструктуру.
  3. Зарезервируйте два статических публичных IP-адреса.
  4. Создайте ВМ для сервиса во всех зонах доступности.
  5. Создайте IPSec-инстанс для удаленного доступа.
  6. Настройте маршрутизацию для VPN.
  7. Создайте таблицу маршрутизации.
  8. Привяжите таблицу маршрутизации ко всем подсетям.
  9. Создайте и настройте группы безопасности.
  10. Назначьте группы безопасности ВМ.
  11. Создайте сетевой балансировщик.
  12. Проверьте работоспособность инфраструктуры.

Если инфраструктура вам больше не нужна, удалите созданные ресурсы.

Подготовьте облако к работе

Зарегистрируйтесь в Yandex Cloud и создайте платежный аккаунт:

  1. Перейдите в консоль управления, затем войдите в Yandex Cloud или зарегистрируйтесь.
  2. На странице Yandex Cloud Billing убедитесь, что у вас подключен платежный аккаунт, и он находится в статусе ACTIVE или TRIAL_ACTIVE. Если платежного аккаунта нет, создайте его.

Если у вас есть активный платежный аккаунт, вы можете создать или выбрать каталог, в котором будет работать ваша инфраструктура, на странице облака.

Подробнее об облаках и каталогах.

В стоимость поддержки интернет-сервиса входят:

Подготовьте сетевую инфраструктуру

Перед тем, как создавать ВМ:

  1. Перейдите в консоль управления Yandex Cloud и откройте каталог, в котором будете выполнять операции.
  2. Выберите сервис Virtual Private Cloud и создайте облачную сеть с подсетями subnet-a, subnet-b и subnet-d в зонах доступности ru-central1-a, ru-central1-b и ru-central1-d соответственно.

Зарезервируйте два статических публичных IP-адреса

Для работы интернет-сервиса потребуются два статических публичных IP-адреса: один будет назначен VPN-шлюзу, а другой — сетевому балансировщику.

  1. В консоли управления выберите сервис Virtual Private Cloud в каталоге, где требуется зарезервировать IP-адреса.
  2. На панели слева выберите IP-адреса. Нажмите кнопку Зарезервировать адрес.
  3. В открывшемся окне выберите зону доступности ru-central1-b. Нажмите кнопку Зарезервировать.
  4. Снова нажмите Зарезервировать адрес.
  5. В открывшемся окне выберите зону доступности ru-central1-a. Нажмите кнопку Зарезервировать.

Создайте ВМ для сервиса во всех зонах доступности

  1. В консоли управления откройте ваш каталог и в правом верхнем углу нажмите кнопку Создать ресурс. Выберите пункт Виртуальная машина.
  2. Укажите имя виртуальной машины: web-node-a.
  3. Выберите зону доступности ru-central1-a.
  4. В блоке Образ загрузочного диска перейдите на вкладку Marketplace и выберите образ Drupal.
  5. В блоке Сетевые настройки выберите подсеть subnet-a. В поле Публичный адрес выберите Без адреса.
  6. В поле Доступ укажите логин и SSH-ключ для доступа к ВМ. Пару ключей для подключения по SSH необходимо создать самостоятельно.
  7. Нажмите кнопку Создать ВМ.
  8. Повторите операции для ВМ web-node-b и web-node-d. Создайте их в зонах ru-central1-b и ru-central1-d, и подключите к подсетям subnet-b и subnet-d соответственно.

Создайте IPSec-инстанс для удаленного доступа

Для организации защищенного доступа к вашим ресурсам создайте IPSec-инстанс.

  1. В консоли управления откройте ваш каталог и в правом верхнем углу нажмите кнопку Создать ресурс. Выберите пункт Виртуальная машина.
  2. Укажите имя виртуальной машины: vpn.
  3. Выберите зону доступности ru-central1-a.
  4. В блоке Образ загрузочного диска перейдите на вкладку Marketplace и выберите образ IPSec-инстанс.
  5. В блоке Сетевые настройки выберите подсеть subnet-a. В поле Публичный адрес выберите Список. В открывшемся списке выберите зарезервированный IP-адрес.
  6. В поле Доступ укажите логин и SSH-ключ для доступа к ВМ.
  7. Нажмите кнопку Создать ВМ.

Настройте маршрутизацию для VPN

Настройте маршрутизацию между удаленной сетью и IPSec-инстансом. В примере будет использоваться подсеть 192.168.0.0/24.

Создайте таблицу маршрутизации

Создайте таблицу маршрутизации и добавьте в нее статические маршруты:

  1. В консоли управления выберите сервис Virtual Private Cloud в каталоге, где требуется настроить маршрутизацию.
  2. Выберите сеть, в которой требуется создать таблицу маршрутизации.
  3. Откройте вкладку Таблицы маршрутизации.
  4. В правом верхнем углу нажмите кнопку Создать.
  5. Задайте имя таблицы маршрутизации: vpn-route.
  6. В блоке Статические маршруты нажмите кнопку Добавить маршрут.
  7. В открывшемся окне введите префикс подсети назначения на удаленной площадке, в примере это 192.168.0.0/24.
  8. В поле Next hop укажите внутренний IP-адрес IPSec-шлюза. Нажмите кнопку Добавить.
  9. Нажмите кнопку Создать таблицу маршрутизации.

Привяжите таблицу маршрутизации ко всем подсетям

Чтобы использовать статические маршруты, необходимо привязать таблицу маршрутизации к подсети. Для этого:

  1. В консоли управления выберите сервис Virtual Private Cloud в каталоге, где требуется настроить маршрутизацию.
  2. На панели слева выберите Подсети
  3. В строке нужной подсети нажмите и выберите Привязать таблицу маршрутизации.
  4. В открывшемся окне в поле Таблица маршрутизации выберите созданную ранее таблицу.
  5. Нажмите кнопку Привязать.
  6. Привяжите таблицу маршрутизации vpn-route ко всем трем подсетям.

Создайте и настройте группы безопасности

Чтобы разделить трафик между сегментами сети, необходимо создать группы безопасности и настроить в них правила приема и отправки трафика.

Создайте группу безопасности для VPN

Для работы VPN необходимо разрешить прием и передачу трафика на UDP-порты 500 и 4500 из внешней сети — это необходимо для работы IPSec-туннеля. Также необходимо разрешить передачу трафика между подсетями вашей виртуальной сети и сетью на удаленной площадке.

  1. В консоли управления выберите сервис Virtual Private Cloud в каталоге, где требуется создать группу безопасности.
  2. На панели слева выберите Группы безопасности.
  3. Нажмите кнопку Создать группу безопасности.
  4. Введите имя группы безопасности — vpn-sg.
  5. В поле Сеть выберите сеть, к которой будет относиться группа безопасности.
  6. В блоке Правила создайте правила для управления исходящим трафиком. Для этого выберите вкладку Исходящий трафик.
  7. Нажмите кнопку Добавить правило. В открывшемся окне:
    1. В поле Диапазон портов укажите порт: 500.
    2. В поле Протокол выберите UDP.
    3. В поле Назначение выберите CIDR.
    4. В поле CIDR блоки укажите публичный адрес удаленного VPN-концентратора с маской 32.
    5. Нажмите кнопку Сохранить.
  8. Нажмите кнопку Добавить правило. В открывшемся окне:
    1. В поле Диапазон портов укажите порт: 4500.
    2. В поле Протокол выберите UDP.
    3. В поле Назначение выберите CIDR.
    4. В поле CIDR блоки укажите публичный адрес удаленного VPN-концентратора с маской 32.
    5. Нажмите кнопку Сохранить.
  9. Настройте правила, разрешающие передачу трафика между веб-серверами и машинами на удаленной площадке. Нажмите кнопку Добавить правило. В открывшемся окне:
    1. В поле Диапазон портов нажмите Выбрать весь диапазон.
    2. В поле Протокол выберите Любой.
    3. В поле Назначение выберите CIDR.
    4. В поле CIDR блоки укажите CIDR внутренней сети — 10.0.0.0/8.
    5. Нажмите кнопку Добавить CIDR и укажите CIDR удаленной площадки — 192.168.0.0/24.
    6. Нажмите кнопку Сохранить.
  10. Выберите вкладку Входящий трафик и создайте аналогичные правила для входящего трафика.

Создайте группу безопасности для ВМ интернет-сервиса

Создайте группу безопасности web-service-sg и настройте правила для трафика.

Правила для исходящего трафика

Разрешите исходящие соединения к другим машинам из группы безопасности:

  • Протокол: Любой;
  • Назначение: Группа безопасности;
  • Группа безопасности: Текущая.

Правила для входящего трафика

Разрешите следующие входящие соединения:

  1. HTTP-соединения от нескольких тестовых несуществующих IP-адресов:
    • Диапазон портов: 80;
    • Протокол: TCP;
    • CIDR блоки: 1.1.1.1/32, 85.32.45.45/32.
  2. HTTPS-соединения от нескольких тестовых несуществующих IP-адресов:
    • Диапазон портов: 443;
    • Протокол: TCP;
    • CIDR блоки: 1.1.1.1/32, 85.32.45.45/32.
  3. TCP-соединения для доступа по SSH:
    • Диапазон портов: 22;
    • Протокол: TCP;
    • CIDR блоки: 0.0.0.0/0.
  4. Соединения от других машин из группы безопасности:
    • Протокол: Любой;
    • Источник: Группа безопасности;
    • Группа безопасности: Текущая.
  5. Проверки состояния от сетевого балансировщика:
    • Диапазон портов: 80;
    • Протокол: TCP;
    • Источник: Проверки состояния балансировщика.

Назначьте группы безопасности ВМ

Чтобы правила групп безопасности начали действовать, группы необходимо назначить сетевым интерфейсам ВМ.

  1. В консоли управления выберите сервис Compute Cloud.
  2. Выберите виртуальную машину vpn.
  3. В блоке Сеть нажмите значок и выберите Изменить.
  4. В открывшемся окне выберите группу безопасности vpn-sg.
  5. Нажмите кнопку Сохранить.
  6. Повторите шаги и назначьте группу безопасности web-service-sg виртуальным машинам web-node-a, web-node-b и web-node-d.

Создайте сетевой балансировщик

Сетевой балансировщик будет распределять входящий трафик интернет-сервиса по ВМ, объединенным в целевую группу.

Чтобы создать сетевой балансировщик:

  1. В консоли управления выберите сервис Network Load Balancer в каталоге, где требуется создать балансировщик.
  2. Нажмите кнопку Создать сетевой балансировщик.
  3. Задайте имя балансировщика: web-service-lb.
  4. В поле Публичный адрес выберите Список и укажите публичный статический адрес.
  5. В блоке Обработчики нажмите кнопку Добавить обработчик.
  6. В открывшемся окне введите имя обработчика и укажите порт 80 в полях Порт и Целевой порт. Нажмите кнопку Добавить.
  7. В блоке Целевые группы нажмите Добавить целевую группу.
  8. В поле Целевая группа нажмите → Создать целевую группу. В открывшемся окне:
    1. Задайте имя целевой группы: web-tg.
    2. Выберите виртуальные машины web-node-a, web-node-b и web-node-d.
    3. Нажмите кнопку Создать.
  9. Выберите созданную целевую группу из списка и в настройках измените протокол проверки состояния балансировщика на TCP:
    1. Нажмите кнопку Настроить.
    2. В открывшемся окне в поле Тип выберите TCP и нажмите кнопку Применить.
  10. Нажмите кнопку Сохранить.

Проверьте работоспособность инфраструктуры

Проверьте работоспособность инфраструктуры и убедитесь, что трафик к ВМ интернет-сервиса поступает только от разрешенных правилами адресов:

  1. Выполните на вашем компьютере команду curl <публичный_IP-адрес_сетевого_балансировщика>. Убедитесь, что ответ не поступил.
  2. Создайте группу безопасности web-service-test-sg без правил и назначьте ее ВМ web-node-a, web-node-b и web-node-d.
  3. Создайте в группе безопасности web-service-test-sg следующее правило для входящего трафика:
    • Диапазон портов: 80;
    • Протокол: TCP;
    • Источник: CIDR;
    • CIDR блоки: <IP-адрес_вашего_компьютера>/32.
  4. Снова выполните на вашем компьютере команду curl <публичный_IP-адрес_сетевого_балансировщика>. Убедитесь, что в качестве ответа вернулся HTML-код стартовой страницы Drupal.
  5. Удалите тестовую группу.

Как удалить созданные ресурсы

Чтобы остановить работу инфраструктуры и перестать платить за развернутые ресурсы, удалите созданные виртуальные машины и балансировщик:

  • vpn;
  • web-node-a;
  • web-node-b;
  • web-node-d;
  • web-service-lb.

Освободите и удалите зарезервированные статические публичные IP-адреса.

Предыдущая
Все руководства
Следующая
Настройка отказоустойчивой архитектуры в Yandex Cloud
В этой статье: