Инвентаризация на VPN: планиран достъп, генерирана конфигурация, живи сесии
Името на тунел е наблюдение, а не запис за услуга. Свържете наемателя, внедрената конфигурация и доказателствата от отчитането, преди да извеждате нещо от експлоатация.
Всяко име на тунел изглежда като ред от инвентара, докато не попитате кой го притежава. Името ви казва, че нещо е свързано в момента; то не може да ви каже на кого принадлежи услугата, до какво имат право да достигат или дали конфигурацията, която е създала тунела, е тази, която сте одобрили. В мащаб на парк от устройства тези три въпроса са инвентарът, а тунелът е само последното наблюдение.
Една услуга, три записа
Планираната услуга е това, на което наемателят има право: идентичности, префикси, ресурси и състояние на жизнения цикъл. Внедрената конфигурация е генерираната политика, която трябва да я реализира. Наблюдаваната сесия е доказателство от времето на изпълнение, че нещо се е свързало. Третирането им като една таблица събира три различни вида истина в един ред, който е грешен по три начина наведнъж.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
Практическата проверка е въпрос, на който всеки запис може да отговори сам. Попитайте кой притежава този префикс и записът за планираната услуга отговаря. Попитайте каква политика държи шлюзът и внедреният запис отговаря. Попитайте дали някой го е използвал тази седмица и записът за сесията отговаря. Колоната, която не може да отговори на собствения си въпрос, е тази, която трябва да се поправи първа.
Записвайте наемателя, а не интерфейса
Дайте на всяка услуга идентификатор, който оцелява при повторно свързване. Временният интерфейс на тунела или номерът на сесията се променят по причини, които нямат нищо общо с клиента, и инвентар, изграден върху едно от тях, получава нов ред всеки път, когато връзката трепне. Изградете го върху наемателя и услугата вместо това, след което прикачете наблюденията към този ключ.
Записът се нуждае от отговорния наемател и оператор, приетата идентичност на партньора или потребителя, препратка към удостоверението, а не негово копие, защитените префикси, контекста на маршрутизация, разрешените ресурси и планираното състояние на жизнения цикъл. Материалът за удостоверения принадлежи в поддържаното хранилище за тайни; инвентар, който носи частни ключове, се е превърнал във второ, по-слабо защитено копие на средата.
Генерираната конфигурация има собственик и версия
Автоматизацията прави това по-лесно и го скрива по-добре. Генератор, който работи успешно, доказва, че шаблонът е бил изобразен, а не че всяко устройство съвпада с изхода. Някой в крайна сметка ще промени шлюз ръчно по време на инцидент и тази промяна е най-ценното нещо за улавяне, защото е единствената, която никое следващо изпълнение няма да възпроизведе.
Запишете коя ревизия е създала внедрената политика и запазете директните редакции като разлика, която да се съгласува вместо да ги презаписвате тихо. Съгласуването е продуктът тук: успехът на генератора и действителното състояние на устройството са два факта, които трябва да се сравнят, а не да се приемат за равни.
Сесиите са доказателство, а не разрешение
Когато внедряването използва отчитане по RADIUS, RFC 2866 дава конкретни полета за работа. Acct-Status-Type разграничава начало от спиране, а записите, принадлежащи на една сесия, споделят Acct-Session-Id. Тези полета ви позволяват да реконструирате кога една сесия е започнала и приключила, без да се доверявате на обобщение от табло.
Идентификаторът за отчитане е доказателство от времето на изпълнение. Той не определя кой наемател притежава подмрежа и не дава достъп до нищо. Свържете го с шлюза и идентичността на услугата, след което дръжте времето на събиране до наблюдението. Липсващ отчет може да е отказ на телеметрията, а не липса на използване, а старият запис не е доказателство, че достъпът остава активен сега.
Извеждането от експлоатация използва същото свързване
Премахването на услуга означава премахване на планирания достъп, удостоверенията и живите сесии, в този ред, чрез собствениците на всяко от тях. След това проверете, че остарялата конфигурация е изчезнала от устройствата и че разрешените ѝ пътища вече не се разрешават. Клиент, който си е тръгнал през миналото тримесечие, не би трябвало да продължава да се появява в списък с префикси, защото името на тунела е изтрито, а маршрутът не е.
Нищо от това не изисква едно устройство за функция или конкретен продукт за автоматизация. Оперативното изискване е по-тясно и по-трудно: клиентът, планираният му достъп, внедрената политика и текущите доказателства от времето на изпълнение трябва да бъдат съединяеми, без да се разчита на нечия памет за име на тунел. Първо изградете трите записа, след това изберете инструментите, които ги поддържат.