Как изолировать директории одного сайта при помощи виртуальных машин?

Question

[Berkutman]

Имеется ESXI server , на нем есть виртуальная машина где куртится веб-сервер и смотрит наружу по example.com.
Мысль:
При регистрации на example.com пользователя выполняется скрипт ,который клонирует template на ESXI server и создает виртуальную машину и директивы сайта для конкретного пользователя , например example.com/profile/admin , после чего при попытке входа в панель управления под пользователем admin происходит перенаправление на адрес example.com/profile/admin при этом он изолирован и имеет свой адрес сети.

Через панель управления будут выполняется различные скрипты на различных языках, для них обязательно нужен отдельный адрес сети, иначе будет конфликт сети и скрипты не выполнятся.

У кого мысли на этот повод , возможно ли ?
Очень важно что бы каждый пользоватль был изолирован именно сетью
Для авторизации. LDAP прикрутить или лучше через базу?

Использовать планируется Debian 9

Answer 1

[Иван Шумов]

Мммм, кто-то пробует изобрести terraform?) Или K8s? Но давайте вернёмся к причинам: какую проблему вы пробуете решить?

Comments

[Berkutman]

Необходимо решить что бы у каждого пользователя веб-сайта example.com должна быть своя виртуальная машина с уникальным адресом сети и своими веб директориями.

[Иван Шумов]

Berkutman, еще раз - я хочу услышать для чего или почему) то что хочется это следствие. Это все решаемо, тем же terraform + обвязками, но абсолютно дикая история по тому что у вас машина быстро кончится (хотя если так пара-тройка пользователей то ок)

[Иван Шумов]

Berkutman, и опять же непонятно что там по этим эндпоинтам у вас такого что нужна отдельная виртуалка. И как тут LDAP с боку

[Berkutman]

Иван Шумов, Потому что , каждый пользователь в панели управления будет использовать vpn подключение до своей локальной сети. С учетом того какая у него инфра за пределами веб сервера, из панели управления он будет выполнять скрипты которые должны будут использовать адреса его локальной сети.

[Berkutman]

Иван Шумов, Ну была мысль к каждой виртуалке прикрутить соответствующего пользователя из LDAP базы

[Berkutman]

Иван Шумов, К ответу насчет впн, можно конечно использовать несколько подключений на одной машине. Но какова вероятность того, что адрес локальной сети разных пользователй не будут совпадать. Сразу конфликт

[Иван Шумов]

Berkutman, на схеме сразу не хватает локальной сети пользователя, vpn соединений и т.п. вебсервер с роутингом вторичен (это просто http роутинг, скучно и просто), а аутентификация - куда (виртуалка, панель? и если да то какая?)

[Berkutman]

Иван Шумов, ну вроде такого.

Аутентификация для панели управления.

[Berkutman]

Berkutman, Т.е пользователь будет подключается к впн серверу своему который у него развернут в его инфре. Тут я думаю, может какой-нибудь ssh vpn,openvpn , anyconnect сделать. Может несколько вариантов сразу. Ну это уже часть сети, тут я разберусь.

Т.е все виртуальные машины которые у меня, выступаю в качестве vpn клиента.

[Иван Шумов]

Berkutman, как мило. особенно учитывая что среднестатистической панели управления для аутентификации через LDAP требуется отдельный Identity Server типа Keycloak или wso2. И немного непонятно почему у виртуалок /16, а не /32) - планируется blue-green deployment на одном сервере?) Вообще если один сервак то вся идея изначально гиблая ибо лег сервер и все клиенты пока-пока

[Berkutman]

Иван Шумов, Я вас понял. Какие есть предложения ? 16 потому что как иначе директории передать веб серверу?

[Иван Шумов]

Berkutman, Какие директории?) Какому именно вебсерверу?

[Berkutman]

Иван Шумов, Директории пользователя admin , где должны хранится на Vm-Adminprofile , веб-серверу Vm-WebServer. Почему так, потому что у каждого пользователя свои скрипты, в которые они вносят свои изменения в панели управления и от туда их запускают.

Да и как я с /32 я буду выходить на внешку?

[Иван Шумов]

Berkutman, Диск он и в Африке диск. Как к нему коннектиться дело десятое. Виртуалки сама по себе во внешку не сможет смотреть - ip-шников не хватит. Вртуалтка все-равно за Nat и циской так что dns в помощь, скорее всего. Таким образом можно раскидать все по портам на доменах и не мучаться даже с центральным вебсервером

[Berkutman]

Иван Шумов, А что делать с впн подключение в таком случае... Смысл то , изолировать таблицу маршрутизации.

[Иван Шумов]

Berkutman, Таблицу маршрутизации все-равно не получится изолировать. Проблема просто имеет другой характер. Пока это один сервер таблица все-равно будет в том или ином виде. Будет таблица маршрутизации на хосте, будет таблица маршрутизации на роутере. То как она управляться будет - дело десятое

[iddqda]

насчет терраформ не знаю, но от того же автора давно есть vagrant, который оркестрирует виртуалки.
по концепции очень похоже на докер-композ (т.е. для локалхоста) но для виртуалок.
там можно запустить виртуалку (или несколько), выделить им адреса, другие ресурсы, и затем в уже запущенную виртуалку ансиблом развернуть все что угодно (сервисы с нужными конфгами, опенвпны, скрипты итд)

[Иван Шумов]

iddqda, vagrant это альтернатива, да. Только сильно послабже и не масштабируется

[iddqda]

Иван Шумов, не масштабируется в пределах локалхоста? ну ок :)

[Иван Шумов]

iddqda, В пределах локалхоста масштабирование не существует) по определению)