Sieć jest warstwą, na której stoi wszystko inne, a mimo to najczęściej projektuje się ją raz i nie wraca do tematu przez lata. Piszę o segmentacji, która ogranicza skutki incydentu, o DNS jako pojedynczym punkcie awarii, o firewallach między segmentami i o redundancji łączy w organizacjach, które nie mają działu sieciowego.
Błąd 26 po restarcie serwera oznacza, że klient nie ustalił portu instancji nazwanej. Skąd sterownik bierze nazwę, port i protokół, kiedy potrzebny jest SQL Browser na UDP 1434 i dlaczego nowe sterowniki wymagają zaufanego certyfikatu serwera.
Trasy statyczne wystarczają, dopóki do każdej podsieci prowadzi jedna ścieżka. Kiedy przy kilku oddziałach i zapasowych tunelach VPN opłaca się BGP, dlaczego zwykle nie OSPF i jakie zabezpieczenia ustawić od pierwszego dnia.
Adres API przeskakuje między węzłami, a za nim restartują się wtyczka sieciowa, kontrolery i DNS. Jak odróżnić problem samego kube-vip od wolnego etcd, sieci i zasobów węzła oraz co zmienić, żeby adres przestał skakać.
Konto VPN dla dostawcy daje mu dostęp do całej sieci, bez zapisu tego, co zrobił, i często na lata po zakończeniu umowy. Bramka z nagrywaniem sesji, konta czasowe w Active Directory i MFA ograniczają dostęp do konkretnych maszyn i konkretnego okna czasu.
Bez żadnej polityki sieciowej każdy pod w klastrze może połączyć się z każdym. Jak wprowadzić domyślną odmowę per przestrzeń nazw, dopuścić DNS, ruch z kontrolera ingress i do bazy, i nie wyłączyć przy tym aplikacji.
Trzy węzły control plane nic nie dają, jeśli klienci łączą się z API pod adresem jednego z nich. Trzy sposoby utrzymania wspólnego adresu, ich konfiguracje, certyfikat z właściwymi nazwami i sprawdzenie, kto naprawdę z adresu korzysta.
Jedna płaska sieć jest prosta do pierwszego incydentu. Plan stref z przykładowymi podsieciami, macierz dozwolonych przepływów i test, który pokazuje, że porty zarządzania są nieosiągalne ze stacji i z sieci gości.
Zgłoszenie brzmi „nie ma sieci”, a sieć działa, tylko nazwy się nie rozwiązują. Gdzie DNS ukrywa pojedyncze punkty awarii i jak sprawdzić klientów, DHCP, forwardery oraz DNS w klastrze.
Drugie łącze często jest kupione, podłączone i nigdy nie sprawdzone. Jak ustawić kontrolę zdrowia łącza, co dzieje się z VPN, telefonią i usługami wystawionymi przy przełączeniu oraz jak to przetestować.
Starsze aplikacje, drukarki i skrypty wysyłają pocztę na port 25 bez szyfrowania i uwierzytelniania. Porównanie sposobów podłączenia ich do Microsoft 365 i konfiguracja przekaźnika Postfix, który zastępuje dwadzieścia wyjątków.