205 lines
15 KiB
Markdown
205 lines
15 KiB
Markdown
|
# О разделе
|
|||
|
|
|
|||
|
|
Данный раздел содержит описание технических параметров кластера PostgreSQL и порядок их первичной конфигурации.
|
|||
|
|
|
|||
|
|
Настройка указанных параметров выполняется администратором облачного провайдера на этапе развёртывания сервиса. Пользователь не имеет прямого доступа к их самостоятельной установке.
|
|||
|
|
|
|||
|
|
Перед созданием кластера клиент предоставляет перечень требуемых параметров менеджеру. Администратор облачного провайдера выполняет конфигурацию в соответствии с согласованными требованиями.
|
|||
|
|
|
|||
|
|
## Выбор типа и размера дискового хранилища
|
|||
|
|
|
|||
|
|
Производительность базы данных напрямую зависит от скорости, с которой она может читать и записывать данные на диск. При заказе кластера необходимо выбрать тип дискового хранилища, который определит максимальную скорость работы (IOPS) и время отклика.
|
|||
|
|
|
|||
|
|
**IOPS (Input/Output Operations Per Second)** — количество операций чтения или записи, которые диск может выполнить за секунду. Чем выше этот показатель, тем быстрее база данных обрабатывает запросы.
|
|||
|
|
|
|||
|
|
## Доступные типы хранилищ:
|
|||
|
|
|
|||
|
|
| Название | Лимит IOPS | Время отклика |
|
|||
|
|
| ---------------| ------------------ | ------------- |
|
|||
|
|
| **Fast SAS** | до 2 IOPS на 1 ГБ | до 10 мс |
|
|||
|
|
| **SSD** | до 5 IOPS на 1 ГБ | до 7 мс |
|
|||
|
|
| **Fast SSD** | до 10 IOPS на 1 ГБ | до 5 мс |
|
|||
|
|
| **Ultra NVMe** | до 25 IOPS на 1 ГБ | до 3 мс |
|
|||
|
|
|
|||
|
|
::: warning Примечание
|
|||
|
|
|
|||
|
|
После выбора типа диска необходимо указать объем дискового хранилища, который будет выделен под данные кластера PostgreSQL. Минимальный объем - 50 ГБ.
|
|||
|
|
|
|||
|
|
:::
|
|||
|
|
|
|||
|
|
## Конфигурация вычислительных ресурсов
|
|||
|
|
|
|||
|
|
В данном разделе определяются вычислительные мощности кластера: процессорные ресурсы, оперативная память и количество серверов (нод), из которых будет состоять кластер PostgreSQL.
|
|||
|
|
|
|||
|
|
### Количество нод в кластере
|
|||
|
|
|
|||
|
|
Количество нод определяет отказоустойчивость кластера и возможность распределять запросы на чтение между репликами. Чем больше нод, тем выше надёжность и производительность операций чтения.
|
|||
|
|
|
|||
|
|
Количество нод выбирается в диапазоне **от 1 до 5**.
|
|||
|
|
|
|||
|
|
### Процессор (CPU)
|
|||
|
|
|
|||
|
|
Процессор — это вычислительная мощность, выделяемая каждой ноде кластера. Количество vCPU определяет, насколько быстро база данных сможет:
|
|||
|
|
|
|||
|
|
- обрабатывать запросы;
|
|||
|
|
- выполнять сложные операции (сортировки, объединения таблиц);
|
|||
|
|
- обслуживать одновременные подключения.
|
|||
|
|
|
|||
|
|
Доступный диапазон: **от 2 до 24 vCPU** на ноду.
|
|||
|
|
|
|||
|
|
### Оперативная память (RAM)
|
|||
|
|
|
|||
|
|
Оперативная память — один из ключевых ресурсов для производительности базы данных. Данные, помещающиеся в RAM, обрабатываются максимально быстро, без обращения к диску.
|
|||
|
|
|
|||
|
|
Доступный диапазон: **от 4 до 768 ГБ RAM** на ноду.
|
|||
|
|
|
|||
|
|
### Доступ в интернет
|
|||
|
|
|
|||
|
|
При заказе сервиса можно выбрать пропускную способность канала связи, через который будет осуществляться доступ к кластеру PostgreSQL из сети интернет.
|
|||
|
|
|
|||
|
|
**Доступные варианты скорости:**
|
|||
|
|
- 50 Мбит/с;
|
|||
|
|
- 100 Мбит/с;
|
|||
|
|
- 200 Мбит/с;
|
|||
|
|
- 300 Мбит/с;
|
|||
|
|
- 400 Мбит/с;
|
|||
|
|
- 500 Мбит/с;
|
|||
|
|
- 1000 Мбит/с (1 Гбит/с).
|
|||
|
|
|
|||
|
|
::: warning Примечание
|
|||
|
|
|
|||
|
|
Для выбранного канала предоставляется статический белый IP-адрес.
|
|||
|
|
|
|||
|
|
:::
|
|||
|
|
|
|||
|
|
## Параметры конфигурации IPSEC
|
|||
|
|
|
|||
|
|
Ниже приведены основные параметры, задаваемые при развёртывании кластера PostgreSQL. Часть параметров определяется клиентом на этапе заказа услуги, часть — фиксирована и не подлежит изменению.
|
|||
|
|
|
|||
|
|
### Данные о конфигурации IPSEC
|
|||
|
|
|
|||
|
|
Параметры подключения (имя туннеля, устройство, публичный IP-адрес) заполняются вручную на основании информации, предоставленной заказчиком.
|
|||
|
|
|
|||
|
|
### Версия IKE (Internet Key Exchange)
|
|||
|
|
|
|||
|
|
Версия IKE выбирается из выпадающего списка, который содержит два значения:
|
|||
|
|
|
|||
|
|
- **IKE v1** — более ранняя версия протокола;
|
|||
|
|
- **IKE v2** — более современная версия, обеспечивающая лучшую устойчивость соединения и более гибкую обработку ошибок.
|
|||
|
|
|
|||
|
|
Рекомендуется использовать IKE v2, если оборудование заказчика это поддерживает.
|
|||
|
|
|
|||
|
|
### Метод аутентификации
|
|||
|
|
|
|||
|
|
Метод аутентификации выбирается из выпадающего списка, который содержит два варианта:
|
|||
|
|
|
|||
|
|
- **PSK** (Pre-Shared Key) — аутентификация с использованием заранее согласованного общего ключа;
|
|||
|
|
- **Certificate** (сертификат) — аутентификация с использованием цифровых сертификатов.
|
|||
|
|
|
|||
|
|
## Этап 1 - установка защищенного соединения
|
|||
|
|
|
|||
|
|
На данном этапе задаются параметры шифрования и аутентификации для защищённого канала связи. Все параметры выбираются вручную из выпадающих списков.
|
|||
|
|
|
|||
|
|
### Алгоритм хэширования
|
|||
|
|
|
|||
|
|
Определяет алгоритм хэширования для защиты управляющего канала. Параметр заполняется вручную из выпадающего списка:
|
|||
|
|
|
|||
|
|
- **SHA1** — формирует хэш длиной 160 бит, имеет коллизии (уязвимости), в современных системах считается устаревшим, используется только для совместимости со старым оборудованием.
|
|||
|
|
- **SHA2-256** — формирует хэш длиной 256 бит, существенно более устойчив к атакам, оптимальный баланс между безопасностью и производительностью.
|
|||
|
|
- **SHA2-384** — длина хэша составляет 384 бита, имеет повышенную криптостойкость, требует больше вычислительных ресурсов, чем SHA-1 и SHA2-256. Используется в средах с повышенными требованиями к безопасности.
|
|||
|
|
- **SHA2-512** — длина хэша составляет 512 бит, обеспечивает самый высокий уровень стойкости из перечисленных, создает наибольшую нагрузку на процессор. Обычно применяется в системах с повышенными требованиями к криптографии.
|
|||
|
|
|
|||
|
|
### Шифрование (Hash)
|
|||
|
|
|
|||
|
|
Определяет алгоритм симметричного шифрования. Параметр заполняется вручную из выпадающего списка:
|
|||
|
|
|
|||
|
|
AES 128 — использует 128-битный ключ, обеспечивает быстрое шифрование, имеет достаточный уровень безопасности для большинства задач.
|
|||
|
|
AES 256 — использует 256-битный ключ, обеспечивает более высокую криптостойкость, оказывает немного большую нагрузку на CPU.
|
|||
|
|
AES GCM 128 / AES GCM 192 / AES GCM 256 — данные алгоритмы совмещают шифрование и контроль целостности, обладают более современным режимом работы, считаются более эффективными по производительности, рекомендуются в современных конфигурациях. Разница между алгоритмами — в длине ключа.
|
|||
|
|
|
|||
|
|
### DH Group (группа Диффи — Хеллмана)
|
|||
|
|
|
|||
|
|
Механизм Diffie-Hellman используется для безопасной генерации общего секретного ключа между сторонами туннеля без передачи этого ключа по сети. Чем выше номер группы и длина ключа, тем выше криптографическая стойкость соединения.
|
|||
|
|
|
|||
|
|
Параметр заполняется вручную из выпадающего списка:
|
|||
|
|
|
|||
|
|
group 2;
|
|||
|
|
group 5;
|
|||
|
|
group 14;
|
|||
|
|
group 15;
|
|||
|
|
group 16;
|
|||
|
|
group 19;
|
|||
|
|
group 20;
|
|||
|
|
group 21.
|
|||
|
|
|
|||
|
|
### IKE Mode (только для IKEv1)
|
|||
|
|
|
|||
|
|
Параметр **IKE Mode** определяет способ установления соединения на этапе 1 при использовании протокола IKEv1.
|
|||
|
|
|
|||
|
|
Доступны два режима: Main и Aggressive. Они отличаются количеством сообщений при установке соединения и уровнем защиты идентификационных данных.
|
|||
|
|
|
|||
|
|
- **Main Mode** — стандартный и более безопасный режим работы IKEv1;
|
|||
|
|
- **Aggressive Mode** — упрощённый и ускоренный режим установления соединения с более низким уровнем защиты данных.
|
|||
|
|
|
|||
|
|
### Время жизни (Lifetime)
|
|||
|
|
|
|||
|
|
Параметр определяет, как долго действуют согласованные ключи в рамках первой фазы. После истечения времени выполняется повторная генерация ключей.
|
|||
|
|
|
|||
|
|
## Этап 2 - передача данных
|
|||
|
|
|
|||
|
|
Этап 2 IPsec-соединения отвечает за шифрование и защиту пользовательского трафика после того, как защищённый канал был установлен на этапе 1. Этот этап регулирует передачу данных между сторонами через безопасный туннель, который обеспечивает конфиденциальность и целостность данных.
|
|||
|
|
|
|||
|
|
### Алгоритм хэширование (Hash)
|
|||
|
|
|
|||
|
|
Аналогично этапу 1, параметр Hash используется для защиты целостности передаваемых данных. Он обеспечивает проверку того, что данные не были изменены при передаче. Доступны следующие алгоритмы:
|
|||
|
|
|
|||
|
|
- SHA1;
|
|||
|
|
- SHA2-256;
|
|||
|
|
- SHA2-384;
|
|||
|
|
- SHA2-512.
|
|||
|
|
|
|||
|
|
## Шифрование
|
|||
|
|
|
|||
|
|
Этап 2 отвечает за шифрование пользовательского трафика. Это важнейший параметр, который защищает данные при их передаче по сети. Доступны следующие алгоритмы:
|
|||
|
|
|
|||
|
|
- AES 128;
|
|||
|
|
- AES 256;
|
|||
|
|
- AES GCM 128;
|
|||
|
|
- AES GCM 192;
|
|||
|
|
- AES GCM 256.
|
|||
|
|
|
|||
|
|
### PFS
|
|||
|
|
|
|||
|
|
**Enable perfect forward secrecy (PFS)** - параметр, активирующий генерацию нового ключа на этапе 2. При включенном PFS группа Diffie-Hellman (DH) будет такая же как и на 1-й фазе.
|
|||
|
|
|
|||
|
|
Данный параметр представлен в виде чекбокса. При его включении:
|
|||
|
|
|
|||
|
|
- на этапе 2 выполняется дополнительный обмен ключами DH;
|
|||
|
|
- для каждой новой IPsec-сессии формируется новый независимый криптографический секрет;
|
|||
|
|
- ключи шифрования пользовательского трафика не зависят от ключей этапа 1.
|
|||
|
|
|
|||
|
|
### DH Group (группа Диффи — Хеллмана)
|
|||
|
|
|
|||
|
|
Группа DH определяет параметры обмена ключами между сторонами. Чем выше номер группы, тем выше криптографическая стойкость и безопасность обмена.
|
|||
|
|
|
|||
|
|
Данный параметр так же содержит в себе выпадающий список, состоящий из следующих значений:
|
|||
|
|
|
|||
|
|
- group 2;
|
|||
|
|
- group 5;
|
|||
|
|
- group 14;
|
|||
|
|
- group 15;
|
|||
|
|
- group 16;
|
|||
|
|
- group 19;
|
|||
|
|
- group 20;
|
|||
|
|
- group 21.
|
|||
|
|
|
|||
|
|
### Время жизни (Lifetime)
|
|||
|
|
|
|||
|
|
Определяет, как долго действуют согласованные ключи в рамках второй фазы.
|
|||
|
|
|
|||
|
|
- рекомендуемое значение: 3600 секунд (1 час);
|
|||
|
|
- после истечения времени выполняется повторная генерация ключей.
|
|||
|
|
|
|||
|
|
### Префиксы локальной сети заказчика
|
|||
|
|
|
|||
|
|
Этот параметр определяет, какие сети на стороне заказчика будут маршрутизироваться через **IPsec-туннель**. Префиксы задаются в формате `192.168.1.0/24`, который позволяет указать диапазон IP-адресов.
|