Birləşdirilmiş və ya ayrı VPN şlüzü: nasazlıq domeninə görə seçin

İki cihaz birindən daha dayanıqlı görünür, ta ki onların eyni elektrik uzatmasını, eyni hipervizoru və eyni yuxarı kanalı paylaşdığını görməyincə. Qutuları saymaq heç kimin vermədiyi suala cavab verir; faydalı sual eyni vaxtda nəyin sıradan çıxdığıdır. Əvvəlcə nasazlıq müqaviləsini yazın, sonra topologiyanı o seçsin. Aşağıdakı runbook həmin qeydi yaradır.

Bir yenidən başlatma zamanı nə dayanır

Birləşdirilmiş şlüz üçün yenidən başlatma, uğursuz yeniləmə və ya aparat nasazlığı zamanı nəyin itdiyini sadalayın. İnternet çıxışı və şəxsi bağlantı birlikdə dayanırsa, bu ortaq kəsinti artıq əlçatanlıq tələbinizin bir hissəsidir, kimsə onu yazıb-yazmamasından asılı olmayaraq. Eyni məşq bir neçə rolu dayandıran tək cihaza da aiddir: onun söndürdüyü xidmətlərin siyahısı real spesifikasiyadır.

Ayrı şlüzlər üçün ortaq qalanları sadalayın: enerji, virtuallaşdırma hostu, yuxarı kanal, şəxsiyyət provayderi, idarəetmə şəbəkəsi. Bir nasaz kommutatorun arxasındakı iki cihaz iki host adı olan bir nasazlıq domenidir. Bu asılılıqlara məhəl qoymayan ayrılma diaqramdır, dizayn deyil.

Baxım sahibliyini də sayın. Başqa cihaz konfiqurasiya, monitorinq, ehtiyat nüsxələr və ikinci bərpa proseduru gətirir və bunların heç biri pulsuz deyil.

Hər qaydanın harada tətbiq olunduğunu qeyd edin

Bir paketi müştəridən şəxsi resursa və geriyə izləyin, siyasətin tətbiq olunduğu hər yeri qeyd edin. İkinci marşrutlaşdırıcı marşrut üstünlüyü, tərcümə və ya bağlantı vəziyyətinin birincisi ilə uyğunsuz ola biləcəyi daha bir nöqtə əlavə edir. İki şlüzlü dizayndakı ən sirli nasazlıqlar məhz bu tikişdə yaşayır.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

VPN qorunmasının harada bitdiyini və daxili siyasətin harada başladığını yazın. İki cihaz arasındakı yol icazəli-dirsə, ikinci qutu sərhəd yaratmayıb; sadəcə sərhədin ola biləcəyi yeri köçürüb. Tək platformada ayrı siyasət zonaları hələ də effektiv ola bilər və onların effektivliyi aparat paylaşıldığı üçün rədd edilməklə deyil, qaydalara əsasən qiymətləndirilməlidir.

Əgər vacib qaydanın hansı cihaz tərəfindən tətbiq olunduğunu deyə bilmirsinizsə, dayanın. Bu boşluq tapıntıdır, sonra həll ediləcək bir detal deyil.

İzolyasiya sərhəddir, korpus deyil

Ayrı cihaz kompromisi yalnız o zaman saxlayır ki, ondan keçən yol digər tərəfin ehtiyac duyduğu ilə məhdudlaşsın. Hər iki cihaz bir-birindən istənilən trafiki qəbul edirsə, birinə düşən hücumçu əvvəlki çıxış imkanlarına sahib olur. İzolyasiya iddiası inventara deyil, qaydalar dəstinə aiddir. Qaydaları oxuyun, hansı axınların icazəli olduğunu deyin, sonra ayrılmanın nə qazandırdığına qərar verin.

Eyni məntiq istifadəçilərə də aiddir. Gəldiyi şəbəkəyə görə etibar edilən VPN istifadəçisi kimliyə deyil, məkana etibar edir və NIST-in sıfır etibar təlimatı alternativi təsvir edir: hər sorğunu resursa qarşı doğrula və səlahiyyətləndir. Bu prinsip tuneli hansı korpusun bitirməsindən asılı olmayaraq qüvvədə qalır.

Ayrılma axını dəyişmək üçün deyil, uyğunluq xəttini təmin etmək üçün varsa, bunu qeyddə deyin. Heç kimin izah edə bilmədiyi nəzarət təzyiq altında ilk çıxarılan olur.

Həqiqətən çata bildiyinizi bərpa edin

Hansı bərpa yolunun rollardan biri öldükdə sağ qaldığını soruşun. Sınıq VPN şlüzünə yeganə çıxış yolu həmin şlüzdən keçirsə, başqa yerdəki ehtiyat cihaz onu düzəltməli olan administratora kömək etmir. Bantdankənar yol, konsol və sənədləşdirilmiş geri qaytarma dizaynı bərpa oluna bilən edən hissələrdir.

systemctl status strongswan
nft list ruleset
ip -brief address

Dizaynı təcrid olunmuş şifrələmə rəqəminə deyil, tam dəstəklənən iş yükünə görə ölçün, çünki filtrləmə və yoxlama eyni aparatı istehlak edir. Ayrılmanın daha sürətli və ya yavaş olduğunu fərz etmək əvəzinə satıcı sənədlərindən və öz ölçmələrinizdən istifadə edin. Sonra qərar qeydini yazın: hansı axınlar icazəlidir, hansı asılılıqlar ortaqdır, texniki xidmət pəncərəsi nəyi dayandırır, hansı tutum sübutunuz var və hər bərpa addımının sahibi kimdir. Bu qeyd nəzərdən keçirmək üçün kifayət qədər qısa, yenidən baxmaq üçün kifayət qədər konkretdir.

Runbook nasazlıq müqaviləsi yazıldıqda, yönləndirmə yolunun hər qayda üçün bir adlandırılmış tətbiq nöqtəsi olduqda, izolyasiya cihaz sayı ilə deyil, axınlarla təsvir edildikdə və bərpa nasaz komponentdən kənarda işlədikdə bitir. Bu tələblərə cavab verən daha sadə quruluşu seçin.