Гиреҳҳои канорӣ ва нуқтаҳои ҳузур

Хулосаи мухтасар

Гиреҳҳои Edge (POP) таъхири шабакаро коҳиш медиҳанд, пайдоиши борро коҳиш медиҳанд ва "хати аввал" -и амниятро таъмин мекунанд. Маҷмӯи асосӣ: Масири Anycast/DNS, кэши маҳаллӣ, сиёсати L7 (WAF, меъёри маҳдудият, филтрҳои бот), мушоҳидакорӣ, нокомии автоматӣ ва интизоми SLO. Мо аз харитаи трафик ва SLA-ҳои кишварҳо/минтақаҳо оғоз мекунем, баъд провайдерҳо/маконҳоро интихоб мекунем, CI/CD ва IA-ро месозем, сенарияҳои нокомиро иҷро мекунем.

Чаро канор ва дар куҷо ба он ниёз доред

Кам кардани p95/TTFB ва ҷиттер барои истифодабарандагон аз маркази асосии додаҳо.
Пурборкунии "чап": кэши дороиҳои статикӣ, тасвирҳо, конфигуратсияҳо ва ҷавобҳои API.

Бехатарӣ: WAF, терминаторҳои m

Ҳамоҳангсозии гео: мутобиқат ба талаботи маҳаллисозӣ/гео-сиёсатҳо, A/B дар сатҳи POP.

Моделҳои меъмории POP

1. CDN-пурра идора карда мешавад

Edge ҳамчун хидмат: Функсияҳои CDN + WAF + (Коргарон/Compute @ Edge). Оғози зуд, ҳадди аққали опекс.

2. Баргардонидани прокси-прокси (Худ/Гибрид)

Bare-metal/VM бо Nginx/Envoy/HAP-roxy + кэши маҳаллӣ + botfilter + MTLS ба пайдоиш. Тағйирёбанда, аммо амалиётро талаб мекунад.

3. Маркази хидматрасонӣ/micro-data

Кластери хурд (k3s/Nomad/MicroK8s) барои ҳисобкунии наздик: фардикунонӣ, хусусиятҳо-парчамҳо, сабуки ML-inference, пешнамоиш.

Ҳавопаймои назоратӣ (назорат, сиёсат, ҷойгиркунӣ) аз ҳавопаймои маълумот (трафики муштариён) алоҳида аст. Конфигуратсияҳо - тавассути Git

Масири ҳаракат ва харитасозӣ

Anycast: як IP дар бисёре аз PO-ҳо → "наздиктарин" бар BGP. Ба зудӣ аз нокомии ТҶ наҷот меёбад (бозпас гирифтани/32).
Масири Geo-DNS/Таъхир: IP/номҳои гуногун барои минтақаҳо; TTL 30-300 c, муоинаи саломатӣ.
Роҳҳои ақибмонда: ПО-и дуввум дар минтақа, пас пайдоиши ҷаҳонӣ.

Анти-намуна: ҳатмии қатъӣ ба як ПО бидуни саломатӣ → иртиботи масир (сӯрохиҳои сиёҳ ҳангоми таназзул).

Кэши канорӣ

Қабатҳо: дороиҳои статикӣ → TTL хашмгин; ним динамика (каталогҳо, конфигуратсияҳо) → TTL + кӯҳна-дар ҳоле-таҷдиди назар; API → калидҳои кӯтоҳи TTL/маъюбӣ гиред.
Калиди кэш: усул + URI + сарлавҳаҳои тағирёбанда (Қабул-Рамзгузорӣ, Локал, Дастгоҳ-Синф) + Контексти аут, ки иҷозат дода шудааст.
Маъюбӣ: бо барчаспҳо/префиксҳо, рӯйдодҳо (webhook аз CI/CD), вақт + версия (hashing дороиҳо).
Муҳофизати заҳролудшавӣ аз кэш: Нормализатсияи URL, Маҳдудияти гуногун, маҳдудияти сарлавҳа, қоидаҳои қатъӣ оид ба 'Кэш-Назорат'.

Nginx (порча):

nginx proxy_cache_path /var/cache/nginx levels=1:2 keys_zone=EDGE:512m max_size=200g inactive=7d;
map $http_accept $vary_key { default ""; "~image/avif" "avif"; "~image/webp" "webp"; }
server {
location /static/ {
proxy_cache EDGE;
proxy_cache_key "$scheme$request_method$host$uri?$args    $vary_key";
proxy_ignore_headers Set-Cookie;
add_header Cache-Control "public, max-age=86400, stale-while-revalidate=600" always;
proxy_pass https://origin_static;
}
}

Ҳисоб кардан дар канор (сабук)

Идоракунии WAF ва бот: санҷиши ченакҳои рафтор/рафтор, изи ангуштони дастгоҳ, суръати клик.
Меъёри лимит/хокистарӣ: нишонаҳо/равзанаи лағжиш, captcha/мушкилот, "интиқол" -и трафики шубҳанок ба масири таназзулёфта.
Фардикунонии пасти давлатӣ: баннерҳои гео/забон/PII-мустақил; KV caches (канори КВ) барои парчамҳои тез.
Вазифаҳо оид ба рӯйдодҳо: тавлиди пешнамоиш, барқарор кардани тасвирҳо, имзои пайвандҳо, масири канарӣ.

Амният дар ТҶ

MTLS ба пайдоиш ва ба охир расидани TLS (TLS 1). 3) дар ҳама hops.
Сегментация: mgmt-ҳавопаймо (Wire-Guard/IP-sec), prod-traffic, гузоришҳо/ченакҳо - дар алоҳидагӣ VRF/VLAN.
Асрҳо: танҳо калидҳои "хонанда "/сертҳо; Амалиёти навиштан ба системаҳои интиқодӣ дар канор манъ аст.
WAF/ACL: Рӯйхати блокҳои ASN/ботнет, маҳдудиятҳои сарлавҳа/бадан, муҳофизати сарбории калонҳаҷм.
Занҷираи таъминот: артефактҳои имзошуда (SBOM), санҷиш дар депла.

Мушоҳида ва телеметрия

Нишондиҳандаҳо:

L3/L4: CPS/RPS, таъсисёфта, ақибмонии SYN, қатраҳо, ретрансмитҳо.
L7: p50/95/99 TTFB, вақти болооб, таносуби кэш, триггери WAF, 4xx/5xx/429.
TLS: версия/алгоритм, дасти дастӣ p95, суръати дубора, ҳолати степлинги OCSP.
Гузоришҳо: дастрасӣ (бо буридани PII), сабти WAF, чорабиниҳои меъёрӣ ва бот-қоидаҳо.
Нишонаҳо: интихоб карда шудаанд: канори → пайдоиш, таносуби 'пайгирӣ' ё 'x-request-id'.
Таҳвили журнал: debaffer ба навбати маҳаллӣ/файл → фиристодани асинхронӣ ба маркази Log Hub (Loki/ELK) бо бозхонд.

SLO барои Edge/POP (намунаҳо)

Мавҷудияти ТҶ: ≥ 99. 95 %/30 рӯз.
p95 TTFB (статикӣ): ≤ дар минтақа 100-150 мс.
p95 TTFB (API GET cached): ≤ 200-250 мс; cached - ≤ 300-400 мс.
Кэши таносуби хит: статикӣ ≥ 90%, нисфи динамика ≥ 60%.
Сатҳи FP WAF: ≤ 0. 1% дархостҳои қонунӣ.
Вақти маъюбӣ аз рӯи барчасп: ≤ 60 с.

Огоҳиҳо: паст шудани таносуби хит, афзоиши 5xx/525, нокомии дастӣ, 429 афзоиш, санҷиши саломатӣ, таназзули Анкаст (бештар N/h).

Ҷойгиркунӣ ва CI/CD

GITOPS: конфигуратсияҳои POP (WAF/rate-limit/хатсайрҳо/қоидаҳои кэш) - дар анбор, баррасии PR, таҳияи канарейкаи 1 POP.
Версия: сиёсати префикс барои санҷиш ('/canary/'), суръати тез.
Асрҳо: тақсимот тавассути агентҳои Vault/KSMS, нишонаҳои кӯтоҳи TTL.
Навсозиҳо: Стейдинг-ПП, пас ҳавзи тасдиқшуда, пас паҳнкунии оммавӣ.

Топология ва инфрасохтори ТопП

Сахтафзор/шабака: 10/25/40G uplinks, ду провайдери мустақил, роутерҳои алоҳида барои Anycast/BGP, ROH (ихтисор).
Нигоҳдорӣ: танҳо ephemeral + кэши маҳаллӣ SSD; PII-и дарозмуддат нест.

Кластерҳои Edge-compute: k3s/Containerd, гиреҳҳои гиреҳ барои функсияҳои шабака, Pod

Дастрасии берун аз банд: канали алоҳидаи mgmt (LTE/провайдери дуюм) барои "баргаштан ба пои худ" дар садама.

Финопс ва иқтисодиёт

Профили ҳаракат: саҳмияҳо аз рӯи минтақа/ASN/CDN-афзоиш; динамикаи қуллаҳо (гугирдҳо/рӯйдодҳо).
$/GB egress ва $/ms p95 ҳамчун ченакҳои мақсаднок; муқоиса кунед Edge идорашаванда vs Self-POP TCO.
Иқтисодиёти кэш: афзоиши таносуби хит пайдоиши egress ва арзиши функсияҳои абрро коҳиш медиҳад.
Каналҳои маҳаллӣ: тахфифҳои бастаҳо аз провайдерҳо, IX-ҳамсолон, кэш бо провайдерҳои шабакаи мобилӣ.

IGaming/fintech мушаххас

Қуллаҳо дар дақиқаҳои мувофиқ: канарейкаи "гургҳои хокистарӣ", маҳдудиятҳои бақайдгирӣ/амонатӣ, афзалияти хатсайрҳои PSP.
Антифрауд: Рамзкушоии TLS дар канори + изи ангуштони дастгоҳ, баҳодиҳӣ ва мушкилоти мулоим; "API торик" барои бот бо баромади гуногун.
Маҳаллисозии мундариҷа/қоидаҳо: кишварҳои қимор бо маҳдудиятҳои махсус - гео-маршрутҳо ва рӯйхати блокҳои ASN.
Низомнома: мӯҳлатҳои вақт/ҷуброн, PII дар канор, рамзгузории ниҳоӣ ва PSP-ҳои қатъии SLA.

Рӯйхати назоратии татбиқ

Харитаи ҳаракат/минтақа, ҳадафҳои p95/дастрасӣ аз рӯи кишварҳо.
Интихоби моделӣ (CDN-идорашаванда/Худмаблағгузорӣ/Гибрид), ҷойгиршавӣ ва нақшаи aplink.
Anycast/BGP + Geo-DNS бо муоинаи тиббӣ ва хуруҷи автоматӣ.
Сиёсати кэш: калидҳо, TTL, маъюбӣ, ҳифзи заҳролудшавӣ.
Амнияти канорӣ: WAF, меъёри маҳдудият, M TLS ба пайдоиш, асрори бо TTL кӯтоҳ.
Мушоҳидаҳо: metrics/L7 гузоришҳо/роҳҳо, таҳвил ба стекҳои марказӣ.
CI/CD/Git
Сенарияҳои DR: аз даст додани POP/aplinka, таназзули Anycast, тарки CDN.
Финопҳо: буҷаи мизбони egress/POP, нақшаи IX/peering.

Хатогиҳои умумӣ

Як провайдер/як aplink дар POP → SPOF.
Кэш "пешфарз" бидуни 'Vary' назорат ва заҳролудшавӣ ва ихроҷи кэш.
Ҳеҷ гуна алоқаи хатсайрӣ (DNS/GSLB/BGP) → таъхирҳо ва сӯрохиҳои сиёҳ.
Асрори дорои ҳуқуқҳои васеъ дар канори → радиуси баланди таркиш.
Гузоришҳои PII бидуни таҳрир → мушкилоти мувофиқат.
Конфигуратсияҳои дастии POP → desynchronization ва drift.

Китобҳои бозикунии хурд

1) Қатъи фаврии мушкилоти POP (Anycast/BGP)

1. Саломатӣ аз ҳадди → 2) нозир/32 эълон → 3) мониторинги берунаро хориҷ мекунад; 4) rca ва бозгашт бо парчами дастӣ.

2) Кэши теги гарм

1. CI/CD webhook-ро ба POP → 2) беэътибор тавассути 'кэш-барчасп:' 60 c → 3) хит-таносуб ва p95 чек мефиристад.

3) Инъикоси таркиши ботҳо

1. Фаъол кардани масири "хокистарӣ" (captcha/challenge) барои ASN → 2 шубҳанок) арзиши роҳро ба пайдоиш → 3 зиёд кунед) қоидаҳоро пас аз таназзул хориҷ кунед.

4) Аз даст додани як аплинка

1. Гузаронидани ECMP ба провайдери зинда; 2) сиёсати egress синфи оммаро коҳиш медиҳад; 3) Ҳисоботи SLA ва чипта ба провайдер.

Намунаи скелети config Envoy дар POP (L7 + кэш + қалмоқҳои WAF)

yaml static_resources:
listeners:
- name: https address: { socket_address: { address: 0. 0. 0. 0, port_value: 443 } }
filter_chains:
- filters:
- name: envoy. filters. network. http_connection_manager typed_config:
"@type": type. googleapis. com/envoy. extensions. filters. network. http_connection_manager. v3. HttpConnectionManager stat_prefix: edge http_filters:
- name: envoy. filters. http. waf # external or custom filter
- name: envoy. filters. http. ratelimit
- name: envoy. filters. http. router route_config:
virtual_hosts:
- name: app domains: ["app. example. com"]
routes:
- match: { prefix: "/static/" }
route:
cluster: origin_static response_headers_to_add:
- header: { key: "Cache-Control", value: "public, max-age=86400, stale-while-revalidate=600" }
- match: { prefix: "/" }
route: { cluster: origin_api, timeout: 5s }
clusters:
- name: origin_static connect_timeout: 2s type: STRICT_DNS lb_policy: ROUND_ROBIN load_assignment:
endpoints: [{ lb_endpoints: [{ endpoint: { address: { socket_address: { address: "origin-static", port_value: 443 }}}}]}]
transport_socket:
name: envoy. transport_sockets. tls
- name: origin_api connect_timeout: 2s type: STRICT_DNS lb_policy: ROUND_ROBIN transport_socket:
name: envoy. transport_sockets. tls

Ҷамъ

Контури канори қавӣ ин ҷуғрофияи дурусти POP + Anycast/Geo-DNS, кэши интеллектуалӣ ва ҳисобкунӣ дар канор, амнияти қатъӣ, мушоҳида ва автоматизатсия мебошад. SLO-ҳои андозагиришавандаро насб кунед, саломатиро бо масир пайваст кунед, фишангҳои канарӣ ва сенарияи DR-ро омӯзед. Он гоҳ платформаи шумо дар ҳама ҷо зуд ва устувор хоҳад буд - аз Сантяго то Сеул, ҳатто дар авҷи бозиҳои ҳалкунанда ва фурӯш.