عندما يسقط IPsec، فإن المسار الاحتياطي ليس سياسة احتياطية

يفقد موقع نفقَه، ويظل جدول التوجيه يُظهر مسارًا صالحًا تمامًا إلى الوجهة عبر الإنترنت. يقترح أحدهم التحوّل إليه ويسمّي التغيير إصلاحًا للتوجيه. يمكن للحزمة أن تسلك ذلك الطريق؛ والسؤال الذي لم يطرحه أحد هو ما إذا كان مسموحًا لها بالوصول دون حماية. هذان جوابان مختلفان من جدولين مختلفين، وخلطُهما هو ما يحوّل انقطاعًا إلى حادث.

نتيجتان تبدوان متطابقتين في جدول التوجيه

تقول قابلية الوصول إن للحزمة مكانًا تذهب إليه. وتقول السياسة الأمنية ما يجب أن يحدث لتلك الحزمة في الطريق، وكلتاهما تُنفَّذان بآلية مختلفة. يمكن أن يوجد مسار لتدفّق تُلزَم السياسة بإسقاطه، وهذا الجمع ليس سوء إعداد. وفصلُ السؤالين هو ما يجعل خطة الانقطاع قابلة للمراجعة أصلًا.

لذا لا يصبح مسار الانقطاع تصميمًا إلا بعد أن يقرر أحدهم أيّ النتائج المسموح بها ينطبق. وإلى أن يوجد ذلك القرار، يظل المسار الاحتياطي إغراءً لا خطة.

نموذج السياسة له ثلاث نتائج، لا نتيجتان

تفصل معمارية IPsec بين حركة يجب إهمالها، وحركة يُسمح لها بتجاوز الحماية، وحركة يجب حمايتها. هذه ثلاث تعليمات متمايزة، والوسطى منها إعفاء مقصود لا نمط فشل. وقراءتها كزوجين هي ما ينتج الخيار الزائف بين نفق وطريق مفتوح.

لا يرقّي ارتباط مفقود قاعدةَ حماية إلى تجاوز بصمت. فما زالت السياسة تقول حماية، لذا تنتظر الحزمة أو تموت، وهذا السلوك هو الضابط يعمل كما كُتب، لا دليلًا على أن السياسة معطوبة.

اكتب متطلبك لتدفّقك في جملة من ثلاث: توقّف حتى يوجد مسار محمي، أو انتقل إلى مسار محمي آخر، أو استخدم مسارًا مُصرَّحًا له بشكل منفصل بالعمل دون IPsec. الجملة الثالثة وحدها تغيّر عقد الأمن، وهي تحتاج إلى مالك يستطيع توقيعه. وتلك الجملة تُدوَّن في سجل التغيير، لا في ذاكرة أحد. يوافق المراجعون على الجملة الثانية ويرفضون الثالثة، وكلا القرارين معقول حين يكونان مرئيين.

التجاوز عقد يوقّعه الطرفان

يحتاج المسار البديل إلى عناوين قابلة للتوجيه، وإدخال صريح حيث يصل، ومسار ردّ يعمل في الاتجاهين. لا تصبح عناوين الموقع الخاصة قابلة للوصول لأن مسارًا افتراضيًا يشير إلى مكان ما.

المصادقة لا تقل أهمية عن العنونة. فالحركة التي تتخطى النفق وتصل إلى حدّ يتوقع الحماية تُرفض حتى حين تصل على الواجهة الصحيحة، لذا على سياسة الاستقبال أن تقبل ذلك الشكل عمدًا. والإعفاء الذي لم يوافق عليه الطرف البعيد قط هو انقطاع بخطوات إضافية.

إن إزالة محدِّد أو إرخاء خريطة لجعل الاحتياط يعمل ليس إعفاءً مضبوطًا. فهو يوسّع ما هو معفى، ويترك الطرف البعيد ينفّذ شيئًا آخر، وقد يغيّر أي قاعدة ترجمة تطابق التدفّق.

الترجمة والإدخال يغيّران الحساب

يمكن للترجمة أن تقدّم رؤية عنوان أخرى، لكن التعيين الأمامي والعكسي يجب أن يتوافقا مع المسار البديل. فالتعيين أحادي الاتجاه ينتج اتصالًا يُفتح ثم يتعلّق. ونصف تعيين أسوأ من لا شيء، لأنه يبدو كتقدّم.

الإدخال هو النصف الثاني. يجب أن يكون لدى الجانب المستقبِل قاعدة صريحة لهذه الحركة، وسجلّ خاص به، وطريقة للتمييز في الثالثة صباحًا بين إعفاء معتمد وخطأ.

الاستعادة جزء من التصميم

سجّل كيف يُكتشف الفشل، وأي سياسة تختار البديل، وما يحدث للجلسات التي كانت جارية حين وقع. فقد ينجح اتصال جديد بعد التحوّل بينما يحتفظ اتصال أقدم بحالة مرتبطة بعنوان لم يعد ينطبق.

فضّل مسارًا محميًا آخر كلما كان المتطلب هو الحماية المستمرة. وحيث يكون الاستثناء غير المحمي ضروريًا فعلًا، قيّده بالمصادر والوجهات والخدمات ومدة، واكتب كيف يُسحب.

اختبر الحالتين، لا الانقطاع فقط

يغطي القبول حالة النفق الفاشل والحالة المستعادة، مع فحص تطبيقي على كل منهما. والنتيجة المهمة ليست أن الحزم ظلت تتحرك، بل أنها تحركت فقط في ظل العقد الذي اختارته المؤسسة.

أضف اختبار السحب أيضًا. فالاستثناء الذي لا يستطيع أحد إيقافه قد أصبح بصمت سياسة دائمة، وهو بالضبط ما كانت القاعدة الأصلية تحمي منه. ضع عليه تاريخ انتهاء ومراجعًا مسمّى، وإلا عاش الإعفاء أطول من كل من فهمه.