Gekombineerde of aparte VPN-gweë: kies volgens foutdomein

Twee toestelle lyk veerkragtiger as een totdat jy agterkom hulle deel dieselfde kragpunt, dieselfde hipervisor en dieselfde opstroomkoppeling. Om bokse te tel beantwoord 'n vraag wat niemand gevra het nie; die nuttige vraag is wat op dieselfde tyd misluk. Skryf eers die foutkontrak neer en laat dit dan die topologie kies. Die runbook hieronder lewer daardie rekord.

Wat stop tydens een herlaai

Vir 'n gekombineerde gweë, lys wat verdwyn tydens 'n herlaai, 'n mislukte opdatering of 'n hardewarefout. As internettoegang en private konnektiwiteit albei stop, is daardie gedeelde onderbreking nou deel van jou beskikbaarheidsvereiste, of iemand dit neergeskryf het of nie. Dieselfde oefening geld vir 'n enkele toestel wat verskeie rolle termineer: die lys dienste wat dit laat val, is die werklike spesifikasie.

Vir aparte gweë, lys wat gedeel bly: krag, die virtualiseringsgasheer, die opstroomkoppeling, die identiteitsverskaffer, die bestuursnetwerk. Twee toestelle agter een mislukte skakelaar is een foutdomein met twee hostname. Skeiding wat daardie afhanklikhede ignoreer, is 'n diagram, nie 'n ontwerp nie.

Tel ook die onderhoudseienaarskap. 'n Ander toestel bring konfigurasie, monitering, rugsteune en 'n tweede herstelprosedure, en niks daarvan is verniet nie.

Merk waar elke reël afgedwing word

Volg een pakket van die kliënt na 'n private hulpbron en terug, en merk elke plek waar 'n beleid toegepas word. 'n Tweede router voeg nog 'n punt by waar roetevoorkeur, vertaling of verbindingstoestand met die eerste kan verskil. Die meeste geheimsinnige foute in 'n twee-gweë-ontwerp lê by daardie naat.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Skryf neer waar VPN-beskerming eindig en waar die binneste beleid begin. As die pad tussen die twee toestelle toegeeflik is, het die tweede boks nie 'n grens geskep nie; dit het net die plek verskuif waar 'n grens kon gewees het. Op 'n enkele platform kan afsonderlike beleidsones steeds doeltreffend wees, en hulle doeltreffendheid moet aan die reëls gemeet word eerder as verwerp word omdat die hardeware gedeel word.

Stop as jy nie kan sê watter toestel die reël afdwing wat saak maak nie. Daardie gaping is die bevinding, nie 'n detail om later te besleg nie.

Inperking is 'n grens, nie 'n kas nie

'n Aparte toestel bevat 'n kompromis slegs wanneer die pad daardeur beperk is tot wat die ander kant nodig het. As albei toestelle enige verkeer van mekaar aanvaar, het 'n aanvaller wat op een land dieselfde bereik as voorheen. Die inperkingsaanspraak hoort by die reëlstel, nie by die inventaris nie. Lees die reëls, sê watter vloeie toegelaat word, en besluit dan of die splitsing enigiets gekoop het.

Dieselfde logika geld vir gebruikers. 'n VPN-gebruiker wat vertrou word omdat van die netwerk waar hulle aangekom het, vertrou ligging in plaas van identiteit, en NIST se zero-trust-riglyn beskryf die alternatief: verifieer en magtig elke versoek teenoor die hulpbron. Daardie beginsel geld watter kas ook al die tonnel termineer.

As die splitsing bestaan om 'n voldoeningslyn te bevredig eerder as om 'n vloei te verander, sê so in die rekord. 'n Beheer wat niemand kan verduidelik nie, is die eerste wat onder druk verwyder word.

Herstel wat jy werklik kan bereik

Vra watter herstelpad bly bestaan wanneer enige van die twee rolle sterf. Wanneer die enigste manier om 'n stukkende VPN-gweë te bereik deur daardie gweë loop, help 'n spaartoestel elders nie die administrateur wat dit moet regmaak nie. 'n Buiteband-pad, 'n konsole en 'n gedokumenteerde terugrol is die dele wat die ontwerp herstelbaar maak.

systemctl status strongswan
nft list ruleset
ip -brief address

Bepaal die ontwerp vir die volledige ondersteunde werklaag eerder as 'n geïsoleerde enkripsiesyfer, want filtering en inspeksie gebruik dieselfde hardeware. Gebruik verskafferdokumentasie en jou eie metings eerder as om te aanvaar dat skeiding vinniger of stadiger is. Skryf dan die besluitrekord: watter vloeie toegelaat word, watter afhanklikhede gedeel word, wat 'n onderhoudsvenster laat val, watter kapasiteitsbewyse jy het, en wie elke herstelstap besit. Daardie rekord is kort genoeg om na te gaan en spesifiek genoeg om te herbesoek.

Die runbook eindig wanneer die foutkontrak geskryf is, die aanstuurpad een benoemde afdwingpunt per reël het, inperking deur vloeie eerder as deur toesteltelling beskryf word, en herstel van buite die mislukte komponent werk. Kies die eenvoudiger reëling wat aan daardie vereistes voldoen.