Internal network — tashkilot yoki tizim chegarasi ichidagi qurilmalar va xizmatlar o‘zaro aloqa qiladigan, ommaviy internetdan mantiqiy yoki fizik ajratilgan tarmoq muhitidir. U ofis LAN’i, ma’lumotlar markazi segmenti, bulut virtual network’i yoki konteyner klaster tarmog‘i bo‘lishi mumkin. “Ichki” atamasi trafik avtomatik ishonchli degani emas.
Manzillash va marshrutlash
Ichki tarmoq ko‘pincha RFC 1918 xususiy IPv4 diapazonlari yoki tashkilotga ajratilgan IPv6 prefikslaridan foydalanadi. Xususiy manzil internetda global marshrutlanmaydi, tashqi aloqa uchun NAT yoki proksi ishlatilishi mumkin. Biroq manzilning xususiyligi autentifikatsiya o‘rnini bosmaydi: tarmoqqa kirgan istalgan qurilma shu diapazondan trafik yubora olishi ehtimol.
Virtual private cloud ichida subnetlar workload vazifasi va availability zone bo‘yicha ajratiladi. Route table qaysi segmentlar o‘zaro va gateway bilan gaplasha olishini belgilaydi. DNS ichki xizmat nomlarini private zone orqali yechishi mumkin; split-horizon DNS bir nomga ichki va tashqi mijoz uchun boshqa javob beradi.
Segmentatsiya
Yassi tarmoqda bitta host buzilsa, u ko‘plab boshqa xizmatlarni skanerlashi va ularga bevosita murojaat qilishi mumkin. VLAN, subnet, firewall va network policy orqali foydalanuvchi qurilmalari, serverlar, ma’lumotlar bazasi, boshqaruv va mehmon tarmog‘i ajratiladi. Aloqa “kerak bo‘lsa ruxsat” qoidasiga asoslanadi. Management interfeyslari oddiy workload trafikidan alohida yo‘lda saqlanadi.
Mikrosegmentatsiya IP va portdan tashqari workload identifikatori, namespace yoki service accountni hisobga oladi. Xizmatlar o‘rtasida mTLS qo‘llansa, trafik manbasi kriptografik tasdiqlanadi. Bu zero trust g‘oyasiga mos: joylashuv signal bo‘lishi mumkin, ammo yagona ishonch mezoni emas.
Tashqi bog‘lanish va kuzatuv
VPN yoki private interconnect masofadagi ofis, bulut va hamkor tarmog‘ini bog‘laydi. Ikki tomonning IP diapazonlari to‘qnashsa routing murakkablashadi. BGP siyosati va route propagation noto‘g‘ri sozlansa, kutilmagan segmentga yo‘l ochilishi mumkin. Hamkor ulanishi butun ichki tarmoqqa emas, kerakli xizmatlarga cheklanadi.
Flow log, DNS log, autentifikatsiya hodisalari va distributed tracing ichki trafikni kuzatadi. East-west trafik hajmi katta bo‘lgani uchun barcha paketni saqlash qimmat; metadata va xavfga asoslangan capture ishlatiladi. Aktivlar inventari qaysi IP ortida qaysi xizmat va egasi borligini ko‘rsatadi. Eski, egasiz endpointlar olib tashlanadi.
Ichki xizmatlar ham patch, TLS, authorization va secret boshqaruviga muhtoj. Faqat firewall ortida ekaniga tayanish phishing, zararli noutbuk, supply-chain yoki buzilgan serverdan keladigan tahdidlarni qamramaydi.
+## Mavjudlik va nomlash
Ichki tarmoqdagi critical xizmatlar bitta switch, DNS server yoki gatewayga bog‘lanib qolmasligi kerak. Redundant yo‘l va health check failoverni ta’minlaydi, lekin asymmetric routing stateful firewall sessiyasini buzishi mumkin. MTU tunnel va overlaylarda kichrayadi; path MTU discovery bloklansa, katta paketlar jim yo‘qolib, faqat ayrim so‘rovlar ishlamasligi mumkin. IP manzilni xizmat identifikatori sifatida doimiy qabul qilish autoscaling muhitida noto‘g‘ri. Service discovery va certificate identity yangi instansiyani xavfsiz ro‘yxatga oladi. DHCP, IPAM va DNS yozuvlari yagona inventar bilan boshqarilsa, manzil to‘qnashuvi hamda egasiz yozuvlar kamayadi.
Qo‘shilishdan oldin qurilma posture tekshiruvi patch darajasi, disk shifrlashi va boshqaruv agentini baholashi mumkin. Talabga javob bermagan endpoint quarantine segmentiga tushadi. Bu mexanizm foydalanuvchi autentifikatsiyasini almashtirmaydi, balki zararli yoki eskirgan qurilma ta’sirini cheklaydi.
Bog‘liq tushunchalar
LAN, VLAN, Subnet, Private IP, Network segmentation, Zero trust, VPN