Аб'яднаны ці асобны VPN-шлюз: выбірайце па домене адмовы

Дзве прылады выглядаюць надзейней за адну, пакуль не заўважыш, што яны дзеляць адзін падважнік, адзін гіпервізар і адзін вышэйшы канал. Падлік скрынак адказвае на пытанне, якое ніхто не задаваў; карыснае пытанне — што адмаўляе адначасова. Спачатку запішыце кантракт адмовы, а затым дайце яму выбраць тапалогію. Runbook ніжэй стварае гэты запіс.

Што спыняецца падчас аднаго перазапуску

Для аб'яднанага шлюза пералічыце, што знікае падчас перазапуску, няўдалага абнаўлення або збою абсталявання. Калі доступ у інтэрнэт і прыватнае злучэнне спыняюцца разам, гэты супольны перапынак ужо частка вашай патрабаванні да даступнасці, незалежна ад таго, ці хтосьці яго запісаў. Тое ж практыкаванне датычыцца адной прылады, якая завяршае некалькі роляў: спіс паслуг, якія яна здымае, і ёсць рэальная спецыфікацыя.

Для асобных шлюзаў пералічыце, што застаецца супольным: сілкаванне, хост віртуалізацыі, вышэйшы канал, пастаўшчык ідэнтычнасці, сетка кіравання. Дзве прылады за адным зламаным камутатарам — адзін домен адмовы з двума імёнамі хостаў. Падзел, які ігнаруе гэтыя залежнасці, — гэта схема, а не праект.

Падлічыце таксама ўласніка абслугоўвання. Іншая прылада прыносіць канфігурацыю, маніторынг, рэзервовыя копіі і другую працэдуру аднаўлення, і нішто з гэтага не бясплатнае.

Пазначце, дзе ўжываецца кожнае правіла

Прасочыце адзін пакет ад кліента да прыватнага рэсурсу і назад і пазначце кожнае месца, дзе ўжываецца палітыка. Другі маршрутызатар дадае яшчэ адзін пункт, дзе перавага маршруту, трансляцыя або стан злучэння могуць разыходзіцца з першым. Большасць загадкавых збояў у праекце з двума шлюзамі жыве на гэтым шве.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Запішыце, дзе заканчваецца ахова VPN і дзе пачынаецца ўнутраная палітыка. Калі шлях паміж дзвюма прыладамі дазваляе ўсё, другая скрынка не стварыла мяжы; яна толькі перанесла месца, дзе мяжа магла б быць. На адной платформе асобныя зоны палітыкі ўсё яшчэ могуць быць эфектыўнымі, і іх эфектыўнасць трэба ацэньваць па правілах, а не адкідваць таму, што абсталяванне супольнае.

Спыніцеся, калі не можаце сказаць, якая прылада ўжывае важнае правіла. Гэтая прага і ёсць выснова, а не дэталь, якую вырашаць пазней.

Ізаляцыя — гэта мяжа, а не корпус

Асобная прылада стрымлівае кампраметацыю толькі тады, калі шлях праз яе абмежаваны тым, што патрэбна другому боку. Калі абедзве прылады прымаюць любы трафік адна ад адной, зламыснік, які трапіў на адну, мае тую ж дасяжнасць, што і раней. Заява пра ізаляцыю належыць набору правілаў, а не інвентару. Прачытайце правілы, скажыце, якія патэкі дазволены, затым вырашыце, ці падзел нешта купіў.

Тая ж логіка датычыцца карыстальнікаў. Карыстальнік VPN, якому давяраюць таму, што сетка, з якой ён прыйшоў, надзейная, давярае месцазнаходжанню замест ідэнтычнасці, а кіраўніцтва NIST па нулявым даверы апісвае альтэрнатыву: аўтэнтыфікаваць і аўтарызаваць кожны запыт адносна рэсурсу. Гэты прынцып дзейнічае, які б корпус ні завяршаў тунель.

Калі падзел існуе, каб задаволіць лінію адпаведнасці, а не каб змяніць паток, скажыце пра гэта ў запісе. Кантроль, які ніхто не можа патлумачыць, — першы, што здымаюць пад ціскам.

Аднаўляйце тое, да чаго сапраўды можна дабрацца

Спытайце, які шлях аднаўлення выжывае, калі любая з роляў гіне. Калі адзіны шлях да зламанага VPN-шлюза ідзе праз гэты шлюз, запасная прылада ў іншым месцы не дапаможа адміністратару, якому трэба яго паправіць. Пазапаласны шлях, кансоль і дакументаванае адкатванне — гэта часткі, якія робяць праект аднаўляльным.

systemctl status strongswan
nft list ruleset
ip -brief address

Памерыце праект пад поўную падтрымліваную працоўную нагрузку, а не пад асобную лічбу шыфравання, бо фільтрацыя і праверка спажываюць тое ж абсталяванне. Карыстайцеся дакументацыяй пастаўшчыка і ўласнымі вымярэннямі, а не здагадкай, што падзел хутчэйшы ці павольнейшы. Затым запішыце рашэнне: якія патэкі дазволены, якія залежнасці супольныя, што здымае акно абслугоўвання, якія доказы ёмістасці ў вас ёсць і хто валодае кожным крокам аднаўлення. Гэты запіс дастаткова кароткі для агляду і дастаткова канкрэтны, каб да яго вярнуцца.

Runbook заканчваецца, калі кантракт адмовы запісаны, шлях перасылкі мае адзін названы пункт ужывання на кожнае правіла, ізаляцыя апісана патэкамі, а не колькасцю прылад, і аднаўленне працуе звонку збойнага кампанента. Выберыце больш простую кампазіцыю, якая задавальняе гэтыя патрабаванні.