एज नोड्स और उपस्थिति के बिंदु
संक्षिप्त सारांश
एज नोड्स (PoP) नेटवर्क विलंबता, ऑफलोड मूल को कम करता है, और सुरक्षा की "पहली पंक्ति" प्रदान करता है। मूल सेट: Anycast/DNS रूटिंग, स्थानीय कैश, L7 नीतियां (WAF, दर-सीमा, बॉट फिल्टर), अवलोकन, स्वचालित विफलता और SLO अनुशासन। हम देशों/क्षेत्रों के यातायात और एसएलए के नक्शे से शुरू करते हैं, फिर प्रदाताओं/स्थानों का चयन करते हैं, सीआई/सीडी और आईएसी का निर्माण करते हैं, असफल परिदृश्य चलाते हैं।
क्यों बढ़ त और आपको इसकी आवश्यकता कहाँ है
मुख्य डेटा केंद्र से दूर उपयोगकर्ताओं के लिए p95/TTFB और जिटर को कम करें।
शिफ्ट "लेफ्ट" लोड करें: स्थिर संपत्ति, छवियों, कॉन्फ़िग और एपीआई प्रतिक्रियाओं का कैश।
सुरक्षा: WAF, mTLS टर्मिनेटर, एंटीबॉट लॉजिक, किनारे पर DDoS अवशोषण।
भू-संरेखण: स्थानीयकरण आवश्यकताओं/भू-नीतियों का अनुपालन, पीओपी स्तर पर ए/बी।
पीओपी वास्तुशिल्प मॉडल
1. सीडीएन-पूरी तरह से प्रबंधित
एक सेवा के रूप में बढ़ त: CDN + WAF + फ़ंक्शन (वर्कर्स/Compute @ Edge)। तेज शुरुआत, न्यूनतम ओपेक्स।
2. रिवर्स-प्रॉक्सी पीओपी (सेल्फ/हाइब्रिड)
Nginx/Envoy/HAProxy + स्थानीय कैश + botfilter + mTLS के साथ नंगे धातु/वीएम। लचीला लेकिन ऑपरेशन की आवश्यकता है।
3. सेवा-किनारा/माइक्रो-डेटा केंद्र
निकट-किनारे गणना के लिए छोटा क्लस्टर (k3s/Nomad/MicroK8s): निजीकरण, सुविधा-झंडे, हल्के एमएल-अनुमान, पूर्वावलोकन रेंडर।
नियंत्रण विमान (नियंत्रण, नीतियां, तैनाती) डेटा प्लेन (ग्राहक यातायात) से अलग है। कॉन्फ़िग्स - GitOps/IaC के माध्यम से।
ट्रैफिक रूटिंग और मैपिंग
Anycast: कई PoP पर एक IP - BGP पर "निकटतम"। जल्दी से PoP विफलता (वापस/32) से बच जाता है।
जियो-डीएनएस/लेटेंसी रूटिंग: क्षेत्रों के लिए अलग-अलग आईपी/नाम; टीटीएल 30-300 सी, स्वास्थ्य-जांच।
फॉलबैक पथ: क्षेत्र में माध्यमिक पीओपी, फिर वैश्विक मूल।
एंटी-पैटर्न: health→routing संचार के बिना एक PoP के लिए कठोर बंधन (गिरावट के दौरान ब्लैक होल)।
एज कैशिंग
परतें: स्थिर संपत्ति - आक्रामक टीटीएल; अर्ध-गतिकी (कैटलॉग, कॉन्फ़िग्स) → टीटीएल + बासी-जबकि-पुनर्नवीनीकरण; API → लघु TTL/विकलांगता कुंजी प्राप्त करें।
कैश कुंजी: विधि + URI + चर शीर्षिका (स्वीकार करें-एनकोडिंग, लोकेल, डिवाइस-क्लास) + ऑथ संदर्भ जहां अनुमति है.
विकलांगता: टैग/उपसर्ग द्वारा, घटना-चालित (सीआई/सीडी से वेबहुक), समय + वर्शनिंग (परिसंपत्ति हैशिंग)।
कैश विषाक्तता सुरक्षा: यूआरएल सामान्यीकरण, वैरी सीमा, हेडर सीमा, 'कैश-कंट्रोल' पर सख्त नियम।
Nginx (टुकड़ा):nginx proxy_cache_path /var/cache/nginx levels=1:2 keys_zone=EDGE:512m max_size=200g inactive=7d;
map $http_accept $vary_key { default ""; "~image/avif" "avif"; "~image/webp" "webp"; }
server {
location /static/ {
proxy_cache EDGE;
proxy_cache_key "$scheme$request_method$host$uri?$args $vary_key";
proxy_ignore_headers Set-Cookie;
add_header Cache-Control "public, max-age=86400, stale-while-revalidate=600" always;
proxy_pass https://origin_static;
}
}किनारे पर गणना करें (हल्का)
WAF और बॉट प्रबंधन: हस्ताक्षर/व्यवहार मेट्रिक्स सत्यापन, डिवाइस-फिंगरप्रिंट, क्लिक दर।
दर-सीमा/ग्रे-बैल: टोकन/स्लाइडिंग विंडो, कैप्चा/चुनौती, एक अपमानित मार्ग के लिए संदिग्ध यातायात का "स्थानांतरण"।
निम्न-राज्य निजीकरण: भू-भाषा/पीआईआई-स्वतंत्र बैनर; फास्ट फ्लैग के लिए केवी कैश (एज केवी)।
घटनाओं पर कार्य: पूर्वावलोकन उत्पन्न करना, छवियों को पुनर्निर्धारित करना, लिंक पर हस्ताक्षर करना, कै
PoP पर सुरक्षा
mTLS को मूल और अंत-से-अंत TLS (TLS 1। 3) सभी हॉप्स पर।
विभाजन: एमजीएमटी-प्लेन (वायरगार्ड/आईपीसेक), प्रॉड-ट्रैफिक, लॉग/मैट्रिक्स - अलग वीआरएफ/वीएलएएन में।
रहस्य: केवल "पाठक" कुंजी/सेर्ट; महत्वपूर्ण प्रणालियों के लिए लेखन संचालन किनारे पर निषिद्
WAF/ACL: ASN/botnet ब्लॉक सूची, हेडर/बॉडी प्रतिबंध, स्लोवोरिस/ओवरसाइज़्ड पेलोड सुरक्षा।
आपूर्ति-श्रृंखला: हस्ताक्षरित कलाकृतियां (SBOM), depla पर सत्यापन।
अवलोकन और टेलीमेट्री
मेट्रिक्स:- L3/L4: CPS/RPS, स्थापित, SYN बैकलॉग, ड्रॉप्स, रेट्रांसमिट।
- L7: p50/95/99 TTFB, अपस्ट्रीम टाइम, कैश हिट-रेशियो, WAF ट्रिगर, 4xx/5xx/429।
- TLS: संस्करण/एल्गोरिथ्म, हैंडशेक p95, फिर से शुरू करने की दर, OCSP स्टेपलिंग राज्य।
- लॉग: एक्सेस (PII कट-ऑफ के साथ), WAF लॉग, रेट-लिमिट और बॉट-रूल इवेंट्स।
- निशान: नमूना: edge→origin, सहसंबंध 'ट्रेसपेरेंट' या 'एक्स-रिक्वेस्ट-आईडी'।
- लॉग डिलीवरी: डिबफ़र एक स्थानीय कतार/फ़ाइल के लिए → अतुल्यकालिक भेजने के लिए केंद्रीय लॉग हब (लोकी/ईएलके) को रिट्रे के साथ।
किनारे/PoP के लिए SLO (उदाहरण)
PoP उपलब्धता: ≥ 99। 95 %/30 दिन।
p95 TTFB (स्थिर): ≤ 100-150 ms क्षेत्रीय रूप से।
p95 TTFB (API GET कैश): ≤ 200-250 ms; गैर-कैश्ड - ≤ 300-400 एमएस।
हिट-अनुपात कैश: स्थिर ≥ 90%, आधा-गतिशीलता ≥ 60%।
WAF FP-दर: ≤ 0। 1% वैध अनुरोध।
टैग द्वारा विकलांगता समय: ≤ 60 s।
अलर्ट: हिट-अनुपात ड्रॉप, 5xx/525 की वृद्धि, हैंडशेक विफलताएं, 429 वृद्धि, स्वास्थ्य-जांच फड़फड़ाना, Anycast गिरावट (अधिक बार N/h वापस लेना)।
तैनाती और सीआई/सीडी
GitOps: PoP कॉन्फ़िग (WAF/दर-सीमा/मार्ग/कैश नियम) - भंडार, पीआर समीक्षा, 1 PoP का कैनरी रोलआउट।
संस्करण: परीक्षण के लिए उपसर्ग नीतियां ('/कैनरी/'), त्वरित रोलबैक।
रहस्य: वॉल्ट एजेंटों/केएसएमएस, छोटे टीटीएल टोकन के माध्यम से वितरण।
अपडेट: स्टेजिंग-पीओपी, फिर मान्य पूल, फिर बड़े पैमाने पर रोलआउट।
पीओपी टोपोलॉजी और बुनियादी ढांचा
हार्डवेयर/नेटवर्क: 10/25/40G अपलिंक, दो स्वतंत्र प्रदाता, Anycast/BGP, RoH (अतिरेक) के लिए अलग राउटर।
भंडारण: पंचांग + स्थानीय कैश SSD केवल; कोई लंबे समय तक जीवित पीआईआई नहीं।
एज-कम्प्यूट क्लस्टर: k3s/Containerd, नेटवर्क फ़ंक्शन के लिए नोड टेंस, PodDisoverSupDugration बजट।
आउट-ऑफ-बैंड एक्सेस: एक दुर्घटना में "अपने पैरों पर वापस आने के लिए" एक अलग mgmt चैनल (LTE/सेकंड प्रदाता)।
फिनोप्स और अर्थशास्त्र
ट्रैफिक प्रोफाइल: क्षेत्र/एएसएन/सीडीएन-बूस्ट द्वारा शेयर; चोटियों की गतिशीलता (मैच/घटनाएँ)।
लक्ष्य मैट्रिक्स के रूप में $/GB egress और $/ms p95; प्रबंधित एज बनाम सेल्फ-पीओपी टीसीओ की तुलना करें।
कैश इकोनॉमी: हिट-रेशियो ग्रोथ एग्रेस ओरिजिन और क्लाउड फंक्शन की लागत को कम करती है।
स्थानीय चैनल: प्रदाताओं, IX-peers, मोबाइल नेटवर्क प्रदाताओं के साथ कैश पीयरिंग से पैकेज छूट।
iGaming/fintech विशिष्ट
मैच मिनटों में चोटियाँ: कैनरी "ग्रे भेड़ियों", पंजीकरण/जमा सीमा, पीएसपी मार्गों की प्राथमिकता।
एंटीफ्राड: किनारे + डिवाइस फिंगरप्रिंट, स्कोरिंग और नरम चुनौतियों पर टीएलएस डिक्रिप्शन; एक अलग आउटपुट के साथ एक बॉट के लिए "डार्क एपीआई"।
सामग्री/नियमों का स्थानीयकरण: विशेष प्रतिबंधों वाले जुआ देश - भू-मार्ग और एएसएन ब्लॉक सूची।
विनियमन: समय/ऑफसेट समय, किनारे पर कोई पीआईआई, एंड-टू-एंड एन्क्रिप्शन और सख्त एसएलए पीएसपी।
कार्यान्वयन जाँच सूची
- देश द्वारा यातायात/क्षेत्र का नक्शा, p95/उपलब्धता लक्ष्य।
- मॉडल चयन (सीडीएन-प्रबंधित/सेल्फ-पीओपी/हाइब्रिड), स्थान और एप्लिंक योजना।
- स्वास्थ्य-जांच और स्वचालित वापसी के साथ Anycast/BGP + Geo-DNS।
- कैश नीतियां: कुंजी, टीटीएल, विकलांगता, विषाक्तता संरक्षण।
- एज-सिक्योरिटी: WAF, रेट-लिमिट, mTLS टू ओरिजिन, शॉर्ट TTL के साथ रहस्य।
- अवलोकन: metrics/L7 लॉग/ट्रेल्स, केंद्रीय ढेर तक डिलीवरी।
- सीआई/सीडी/गिटोप्स, कैनरी पीओपी, फास्ट रोलबैक।
- डीआर परिदृश्य: PoP/aplinka का नुकसान, Anycast गिरावट, CDN ड्रॉप।
- FinOps: egress/PoP होस्टिंग बजट, IX/peering की योजना।
सामान्य त्रुटियाँ
PoP → SPOF में एक प्रदाता/एक एप्लिंक।
'वैरी' नियंत्रण के बिना कैश "डिफ़ॉल्ट" - कैश विषाक्तता और रिसाव।
कोई health→routing संचार (DNS/GSLB/BGP) → देरी और ब्लैक होल।
किनारे पर व्यापक अधिकारों के साथ रहस्य - उच्च विस्फोट त्रिज्या।
PII संपादन - अनुपालन समस्याओं के बिना लॉग करता है।
मैनुअल PoP कॉन्फ़िग करता है - desynchronization और बहाव।
मिनी प्लेबुक
1) समस्या का आपातकालीन बंद PoP (Anycast/BGP)
1. स्वास्थ्य दहलीज → 2 से नीचे गिरता है) नियंत्रक हटाता है/32 घोषणा → 3) बाहरी नमूना निगरानी; 4) आरसीए और मैनुअल फ्लैग द्वारा वापसी।
2) हॉट डिसेबल टैग कैश
1. CI/CD 'कैश-टैग:' ≤ 60 c → 3) हिट-अनुपात और p95 चेक के माध्यम से वेबहुक को PoP → 2) अमान्य भेजता है।
3) बॉट्स के फटने को दर्शाता है
1. संदिग्ध ASN → 2 के लिए "ग्रे" मार्ग (कैप्चा/चुनौती) को सक्रिय करें) मूल → 3 के लिए मार्ग की लागत बढ़ाएं) मंदी के बाद नियमों को हटा दें।
4) एक एप्लिंका का नुकसान
1. ईसीएमपी को लाइव प्रदाता में बदलना; 2) अनुगामी नीति थोक वर्ग को कम करती है; 3) एसएलए रिपोर्ट और प्रदाता को टिकट।
PoP पर दूत कॉन्फ़िग कंकाल का उदाहरण (L7 + कैश + WAF हुक)
yaml static_resources:
listeners:
- name: https address: { socket_address: { address: 0. 0. 0. 0, port_value: 443 } }
filter_chains:
- filters:
- name: envoy. filters. network. http_connection_manager typed_config:
"@type": type. googleapis. com/envoy. extensions. filters. network. http_connection_manager. v3. HttpConnectionManager stat_prefix: edge http_filters:
- name: envoy. filters. http. waf # external or custom filter
- name: envoy. filters. http. ratelimit
- name: envoy. filters. http. router route_config:
virtual_hosts:
- name: app domains: ["app. example. com"]
routes:
- match: { prefix: "/static/" }
route:
cluster: origin_static response_headers_to_add:
- header: { key: "Cache-Control", value: "public, max-age=86400, stale-while-revalidate=600" }
- match: { prefix: "/" }
route: { cluster: origin_api, timeout: 5s }
clusters:
- name: origin_static connect_timeout: 2s type: STRICT_DNS lb_policy: ROUND_ROBIN load_assignment:
endpoints: [{ lb_endpoints: [{ endpoint: { address: { socket_address: { address: "origin-static", port_value: 443 }}}}]}]
transport_socket:
name: envoy. transport_sockets. tls
- name: origin_api connect_timeout: 2s type: STRICT_DNS lb_policy: ROUND_ROBIN transport_socket:
name: envoy. transport_sockets. tlsकुल
एक मजबूत किनारा समोच्च PoP + Anycast/Geo-DNS का सही भूगोल है, स्मार्ट कैशिंग और किनारे पर गणना, तंग सुरक्षा, अवलोकन और स्वचालन। औसत दर्जे का एसएलओ सेट करें, लिंक स्वास्थ्य → रूटिंग, कैनरी लीवर पकड़ें और डीआर परिदृश्यों को प्रशिक्षित करें। फिर आपका मंच हर जगह तेज और स्थिर होगा - सैंटियागो से सियोल तक, यहां तक कि निर्णायक मैचों और बिक्री के चरम पर भी।