مفاهیمپیش‌نمایش
شبکه‌ها و دستگاه‌ها
سازمان، شبکه، اعضا، دستگاه‌ها و کلیدهای احراز هویت در نردبون چطور کنار هم قرار می‌گیرند.
در نردبون همه‌چیز زیر یک سازمان قرار دارد. هر سازمان اعضایی دارد و یک یا چند شبکه، و هر دستگاه دقیقاً به یک شبکه تعلق دارد.
| مفهوم | تعریف |
|---|---|
| سازمان | بالاترین سطح؛ کاملاً جدا از سازمان‌های دیگر. |
| شبکه | یک شبکه‌ی خصوصی با محدوده‌ی IP و نام‌های دستگاه مخصوص به خودش. |
| عضو | فردی در سازمان که یک نقش دارد. |
| دستگاه | کامپیوتر یا سروری که نردبون رویش اجرا می‌شود و دقیقاً عضو یک شبکه است. |
اعضا و نقش‌ها
افراد را به سازمانتان دعوت کنید و به هر عضو یک نقش بدهید: مالک (Owner)، مدیر (Admin)، مدیر شبکه (Network admin)، مدیر مالی (Billing admin)، ناظر (Auditor) یا عضو (Member).
مالک، مدیر و عضو در همه‌ی پلن‌ها هستند. مدیر شبکه، مدیر مالی و ناظر با پلن‌های تیمی و سازمانی می‌آیند. اگر پلنتان دیگر شامل آن‌ها نباشد، کسی که یکی از این نقش‌ها را دارد نقشش را نگه می‌دارد، ولی تا وقتی پلن دوباره شاملش شود مثل عضو عمل می‌کند.
اعضا با ایمیل و رمز عبور (همراه با تأیید ایمیل) یا با حساب Google، GitHub یا Microsoft وارد می‌شوند. هر عضو می‌تواند با یک اپلیکیشن authenticator (TOTP) یا passkey برای حسابش MFA فعال کند و کدهای بازیابی هم برای روز مبادا می‌گیرد.
همه‌ی کارهای مهم در گزارش رویدادها (audit log) ثبت می‌شوند.
دستگاه‌ها
دستگاه با ورود از طریق مرورگر (sudo nardeboon up لینک ورود را چاپ می‌کند) یا با یک کلید احراز هویت به شبکه می‌پیوندد. سپس یک آدرس از محدوده‌ی IP شبکه و یک نام می‌گیرد.
مدیرها می‌توانند هر دستگاه را مدیریت کنند:
| کار | اثر |
|---|---|
| تغییر نام | نام دستگاه را عوض می‌کند. |
| تگ‌ها | برچسب‌هایی که قواعد کنترل دسترسی به آن‌ها اشاره می‌کنند. |
| غیرفعال کردن | دستگاه را تا وقتی دوباره فعال شود بیرون از شبکه نگه می‌دارد. |
| باطل کردن (revoke) | دسترسی دستگاه را فوراً قطع می‌کند. |
| انقضای کلید | تعیین می‌کند کلید دستگاه چه زمانی منقضی شود. |
| احراز هویت دوباره | دستگاه را ملزم می‌کند دوباره وارد شود. |
| تأیید | وقتی تأیید دستگاه فعال است، به دستگاه جدید اجازه‌ی ورود می‌دهد. |
تأیید
اگر تأیید دستگاه فعال باشد، دستگاه جدید تا تأیید یک مدیر منتظر می‌ماند. تأیید کاربر هم همین کار را برای کاربران جدید انجام می‌دهد. برای subnet routeها و نودهای خروجی همیشه تأیید مدیر لازم است؛ subnet routeها و نودهای خروجی را ببینید.
انقضای کلید
کلید دستگاه‌ها می‌تواند منقضی شود. اگر کلید دستگاهی منقضی شده باشد یا مدیر از آن خواسته باشد دوباره احراز هویت کند، روی همان دستگاه دوباره وارد شوید:
sudo nardeboon loginCLI منقضی شدن کلید را با کد خروج ۴ (auth) گزارش می‌کند.
باطل کردن
باطل کردن دستگاه فوراً اثر می‌کند. ابطال‌ها امضاشده‌اند و همتاها آن‌ها را به هم می‌رسانند؛ بنابراین به دستگاه‌هایی هم که فعلاً به سرور کنترل دسترسی ندارند می‌رسند. تاب‌آوری را ببینید.
کلیدهای احراز هویت
کلید احراز هویت (auth key) دستگاه را بدون ورود از طریق مرورگر به شبکه اضافه می‌کند؛ برای همین برای سرورها و خودکارسازی مناسب است:
sudo nardeboon up --auth-key "$NB_AUTH_KEY"| نوع | رفتار | مناسب برای |
|---|---|---|
| یک‌بارمصرف | فقط یک دستگاه را اضافه می‌کند. | یک دستگاه مشخص |
| چندبارمصرف | می‌تواند چند دستگاه را اضافه کند. | اسکریپت‌های راه‌اندازی |
| موقت (ephemeral) | دستگاه وقتی آفلاین شود حذف می‌شود. | CI، کانتینرها و ماشین‌های مجازی کوتاه‌عمر |
| بدون انقضا | منقضی نمی‌شود. | سرورها |
| تگ‌دار | دستگاه‌هایی که با آن وارد می‌شوند، تگ‌های کلید را می‌گیرند. | سرورهایی که تابع قواعد کنترل دسترسی‌اند |
با کلیدها مثل رمز عبور رفتار کنید و آن‌ها را در تاریخچه‌ی shell یا مخزن کد نگذارید.
محدوده‌ی IP
هر شبکه محدوده‌ی IP خودش را دارد (اگر محدوده‌ی دیگری انتخاب نکنید، 10.100.0.0/16) و هر دستگاه از همین محدوده آدرس می‌گیرد. در پلن‌های Team و Business می‌توانید شبکه را بدون قطعی به یک محدوده‌ی خصوصی دیگر ببرید، از تنظیمات شبکه:
- جابه‌جایی را شروع کنید. هر دستگاه یک آدرس دوم در محدوده‌ی جدید می‌گیرد. آدرس قدیمی و نامش همچنان کار می‌کنند.
- هر چیزی که از آدرس‌های قدیمی استفاده می‌کند را جابه‌جا کنید، مثل قوانین فایروال یا فایل‌های تنظیمات، و مطمئن شوید کار می‌کند.
- تمام کنید. آدرس‌های قدیمی از کار می‌افتند و نام‌ها به آدرس‌های جدید اشاره می‌کنند.
تا وقتی تمام نکرده‌اید، با برگرداندن آدرس‌های جدید حذف می‌شوند و شبکه همان می‌ماند که بود. دستگاهی که از قبل داخل محدوده‌ی جدید باشد آدرسش را نگه می‌دارد؛ پس کوچک کردن محدوده فقط دستگاه‌های بیرون از آن را جابه‌جا می‌کند.
نام دستگاه‌ها
هر دستگاه خودکار یک نام می‌گیرد، پس به‌ندرت به آدرس IP آن نیاز پیدا می‌کنید. هم نام کوتاه کار می‌کند و هم نام کامل:
| شکل | نمونه |
|---|---|
| نام کوتاه | mypc |
| نام کامل | mypc.<network>.nb.internal، مثلاً mypc.home.nb.internal |
ping mypc
ssh mypc.home.nb.internalنام دستگاه را هنگام پیوستن با sudo nardeboon up --hostname mypc تعیین کنید یا بعداً تغییرش دهید. دستور nardeboon whois 100.101.12.4 نشان می‌دهد یک آدرس یا نام متعلق به کدام دستگاه است. برای فرستادن دامنه‌های دلخواه به nameserverهای دلخواه، از split DNS استفاده کنید؛ DNS را ببینید.
طرح نام‌گذاری nb.internal در مرحله‌ی پیش‌نمایش است و ممکن است تغییر کند.