Калі IPsec адключаецца, запасны маршрут не з’яўляецца запасной палітыкай

Сайт губляе свой тунэль, а табліца маршрутызацыі ўсё яшчэ паказвае цалкам працоўны шлях да прызначэння праз інтэрнэт. Нехта прапануе пераключыцца на яго і называе гэта выпраўленнем маршрутызацыі. Пакет мог бы пайсці гэтым шляхам; пытанне, якое ніхто не задаў, — ці дазволена яму прыйсці без абароны. Гэта розныя адказы з розных табліц, і іх змешванне — гэта тое, як збой ператвараецца ў інцыдэнт.

Два вынікі, якія ў табліцы маршрутаў выглядаюць аднолькава

Дасланасць кажа, што пакету ёсць куды ісці. Палітыка бяспекі кажа, што павінна адбыцца з гэтым пакетам у дарозе, і абедзве рэалізуюцца рознымі механізмамі. Маршрут можа існаваць для патоку, які палітыка абавязана адкінуць, і гэтае спалучэнне не з’яўляецца няправільнай наладай. Менавіта раздзяленне двух пытанняў робіць план на выпадак збою ўвогуле прыдатным для разгляду.

Такім чынам, шлях на выпадак збою становіцца праектам толькі пасля таго, як нехта вырашыць, які з дазволеных вынікаў дзейнічае. Пакуль такога рашэння няма, запасны маршрут — гэта спакуса, а не план.

Мадэль палітыкі мае тры выракі, а не два

Архітэктура IPsec раздзяляе трафік, які трэба адкінуць, трафік, якому дазволена абысці абарону, і трафік, які павінен быць абаронены. Гэта тры розныя інструкцыі, і сярэдняя з іх — наўмыснае выключэнне, а не рэжым збою. Менавіта чытанне іх як пары стварае фальшывы выбар паміж тунэлем і адкрытай дарогай.

Адсутная спасылка не пераўтварае моўчкі правіла абароны ў абысценне. Палітыка па-ранейшаму кажа абараняць, таму пакет чакае або памірае, і гэтыя паводзіны — гэта кантроль, які працуе як напісана, а не доказ таго, што палітыка зламаная.

Запішыце патрабаванне для свайго патоку як адно з трох сказаў: спыніцеся, пакуль не з’явіцца абаронены шлях; пераключыцеся на іншы абаронены шлях; або выкарыстайце шлях, якому асобна дазволена працаваць без IPsec. Толькі трэці змяняе кантракт бяспекі, і яму патрэбны ўласнік, які можа яго падпісаць. Гэты сказ ідзе ў запіс аб змене, а не ў чыюсьці памяць. Рэцэнзенты ўхваляюць другі сказ і адмаўляюць трэці, і абодва рашэнні разумныя, калі яны бачныя.

Абысценне — гэта кантракт, які падпісваюць абодва бакі

Альтэрнатыўнаму шляху патрэбныя маршрутызуемыя адрасы, відавочны дапуск там, дзе ён прыбывае, і зваротны шлях, які працуе ў абодвух кірунках. Прыватныя адрасы сайта не становяцца дасягальнымі таму, што маршрут па змаўчанні паказвае кудысьці.

Аўтэнтыфікацыя важная не менш за адрасацыю. Трафік, які абыходзіць тунэль і прыбывае на мяжу, што чакае абароны, адхіляецца, нават калі трапляе на правільны інтэрфейс, таму палітыка прыёму павінна наўмысна прыняць такую форму. Выключэнне, на якое далёкі бок ніколі не згаджаўся, — гэта збой з дадатковымі крокамі.

Выдаленне селектара або паслабленне карты, каб рэзерв працаваў, не з’яўляецца кантраляваным выключэннем. Яно пашырае тое, што вызвалена, пакідае далёкі бок выконваць нешта іншае і можа змяніць, якое правіла трансляцыі адпавядае патоку.

Трансляцыя і дапуск змяняюць арыфметыку

Трансляцыя можа прадставіць іншы выгляд адрасоў, але прамое і зваротнае адлюстраванне павінны ўзгадняцца з альтэрнатыўным шляхам. Аднабаковае адлюстраванне стварае злучэнне, якое адкрываецца і потым завісае. Палова адлюстравання горш за нішто, бо выглядае як прагрэс.

Дапуск — другая палова. Прымальны бок павінен мець відавочнае правіла для гэтага трафіку, уласны журнал і спосаб адрозніць ухваленае выключэнне ад памылкі ў тры гадзіны ночы.

Аднаўленне належыць праекту

Запішыце, як выяўляецца збой, якая палітыка выбірае замену і што адбываецца з сеансамі, якія працавалі ў момант збою. Новае злучэнне можа паспець пасля пераключэння, пакуль старэйшае трымае стан, прывязаны да адраса, які больш не дзейнічае.

Аддавайце перавагу іншаму абароненаму шляху, калі патрабаваннем з’яўляецца бесперапынная абарона. Там, дзе незабароненае выключэнне сапраўды неабходнае, абмяжуйце яго крыніцамі, прызначэннямі, службамі і тэрмінам, і запішыце, як яно адабраецца.

Праверце абодва станы, а не толькі збой

Прыёмка ахоплівае выпадак з адмоўленым тунэлем і адноўлены, з праверкай праграмы на кожным. Цікавы вынік не ў тым, што пакеты працягвалі рухацца, а ў тым, што яны рухаліся толькі паводле кантракта, які абрала арганізацыя.

Дадайце таксама праверку адабрання. Выключэнне, якое ніхто не можа выключыць, ціха стала пастаяннай палітыкай, а гэта менавіта тое, ад чаго абараняла першапачатковае правіла. Пастаўце на яго тэрмін дзеяння і названага рэцэнзента, інакш выключэнне перажыве ўсіх, хто яго разумеў.