VPN-inventaris: beoogde toegang, gegenereerde konfigurasie, lewende sessies

Elke tonnelnaam lyk soos ’n inventarisry totdat jy vra wie dit besit. ’n Naam sê vir jou dat iets nou verbind is; dit kan nie sê aan wie die diens behoort nie, wat hulle mag bereik nie, of die konfigurasie wat die tonnel geskep het die een is wat jy goedgekeur het nie. Op vlootskaal is daardie drie vrae die inventaris, en die tonnel is net die jongste waarneming.

Een diens, drie rekords

Die beoogde diens is wat die huurder geregtig is op: identiteite, prefikse, hulpbronne en ’n lewensiklustoestand. Die ontplooide konfigurasie is die gegenereerde beleid wat dit behoort te verwesenlik. Die waargenome sessie is looptydbewyse dat iets verbind het. Om hulle as een tabel te behandel, stort drie verskillende soorte waarheid saam in ’n ry wat op drie maniere tegelyk verkeerd is.

Die praktiese toets is ’n vraag wat elke rekord alleen kan beantwoord. Vra wie hierdie prefiks besit, en die rekord van die beoogde diens antwoord. Vra watter beleid die poort het, en die ontplooide rekord antwoord. Vra of iemand dit hierdie week gebruik het, en die sessierekord antwoord. ’n Kolom wat nie sy eie vraag kan antwoord nie, is die een wat jy eerste moet regmaak.

Rekord die huurder, nie die koppelvlak nie

Gee elke diens ’n identifiseerder wat ’n herverbinding oorleef. ’n Tydelike tonnelkoppelvlak of sessienommer verander om redes wat niks met die klant te doen het nie, en ’n inventaris wat op een daarvan gesleutel is, kry elke keer ’n nuwe ry wanneer ’n skakel fladder. Sleutel dit eerder op die huurder en die diens, en heg dan waarnemings aan daardie sleutel.

Die rekord het die verantwoordelike huurder en operateur nodig, die aanvaarde eweknie- of gebruikersidentiteit, ’n verwysing na die geloofsbrief eerder as ’n kopie daarvan, die beskermde prefikse, die roeteringskonteks, die toegelate hulpbronne en die beoogde lewensiklustoestand. Geloofsbriefmateriaal hoort in die ondersteunde geheimebergplek; ’n inventaris wat private sleutels dra, het ’n tweede, swakker beskermde kopie van die landgoed geword.

Gegenereerde konfigurasie het ’n eienaar en ’n weergawe

Outomatisering maak dit makliker en versteek dit beter. ’n Generator wat suksesvol loop, bewys dat die sjabloon gelewer is, nie dat elke toestel by die uitset pas nie. Iemand sal uiteindelik tydens ’n voorval ’n poort met die hand verander, en daardie verandering is die waardevolste ding om vas te vang, want dit is die een wat geen latere lopie sal herproduseer nie.

Teken aan watter hersiening die ontplooide beleid geskep het, en bewaar direkte wysigings as ’n verskil wat versoen moet word eerder as om dit stilweg te oorskryf. Die versoening is die produk hier: die generator se sukses en die toestel se werklike toestand is twee feite wat vergelyk moet word, nie as gelyk aangeneem moet word nie.

Sessies is bewyse, nie magtiging nie

Waar die ontplooiing RADIUS-rekeningkunde gebruik, gee RFC 2866 konkrete velde om mee te werk. Acct-Status-Type onderskei ’n begin van ’n einde, en die rekords wat aan een sessie behoort, deel ’n Acct-Session-Id. Daardie velde laat jou rekonstrueer wanneer ’n sessie begin en geëindig het sonder om ’n paneelbord se opsomming te vertrou.

’n Rekeningkundige identifiseerder is looptydbewyse. Dit bepaal nie watter huurder ’n subnet besit nie, en dit verleen nie toegang tot enigiets nie. Korreleer dit met die poort en die diensidentiteit, en hou dan die versamelingstyd langs die waarneming. ’n Ontbrekende verslag kan ’n telemetriefout wees eerder as ’n afwesigheid van gebruik, en ’n ou rekord is nie bewys dat toegang nou nog aktief is nie.

Aftrede gebruik dieselfde aansluiting

Om ’n diens te verwyder beteken om die beoogde toegang, die geloofsbriewe en die lewende sessies te verwyder, in daardie volgorde, deur die eienaars van elkeen. Verifieer dan dat die verouderde konfigurasie uit die toestelle verdwyn het en dat sy toegelate paaie nie meer oplos nie. ’n Klant wat verlede kwartaal weg is, behoort nie steeds in ’n prefikslys te verskyn omdat die tonnelnaam geskrap is maar die roete nie.

Niks hiervan vereis een toestel per funksie of ’n spesifieke outomatiseringsproduk nie. Die operasionele vereiste is smaller en moeiliker: ’n klant, sy beoogde toegang, die ontplooide beleid en huidige looptydbewyse moet aansluitbaar wees sonder om op iemand se geheue van ’n tonnelnaam te vertrou. Bou eers die drie rekords en kies dan die gereedskap wat hulle instandhou.