La vostra VPN al núvol encara depèn del proveïdor d'allotjament

Heu instal·lat el sistema operatiu, heu endurit el servei i teniu les claus, i comença a semblar que el servidor és vostre. És vostre com ho és un pis de lloguer: el pany de la porta el controleu vosaltres i l'edifici no. L'hipervisor, la xarxa davant de la instància i el compte que ho pot reconstruir tot pertanyen a una altra persona. Aquesta distinció decideix què ha de cobrir un pla de recuperació, i és la part que l'allotjament propi canvia menys.

El compte és el veritable pla de control

Un compte d'allotjament gestiona la màquina virtual, els discs, les instantànies, les adreces públiques i les regles de xarxa. Tot això es pot canviar sense iniciar sessió al convidat, cosa que situa el compte fora del model d'amenaces que descriuen la majoria de guies de VPN. Una configuració de túnel perfecta sobreviu a una acció del compte que substitueixi un disc.

Protegiu aquest compte com un actiu a part: credencials independents, segons factors amb suport de maquinari i un registre d'auditoria que algú llegeixi de veritat. Compartir-lo amb la mateixa entrada del gestor de contrasenyes que el servei de VPN és l'error que fa irrellevant qualsevol altre control.

Llegiu el repartiment de deures del proveïdor per al producte concret, no per al núvol en general. El model de responsabilitat compartida és un exemple útil de com es divideixen les capes, i altres proveïdors descriuen les seves pròpies fronteres en lloc d'heretar aquesta. El que busqueu és quines fallades us toca arreglar i quines només podeu comunicar.

Esdeveniments d'infraestructura que no podeu administrar

La migració en viu, el manteniment de l'amfitrió, una fallada de maquinari al node físic i un esdeveniment de capacitat són coses que el proveïdor gestiona segons el seu calendari. Podeu veure un reinici, una breu pèrdua de paquets o un canvi d'adreça, i no veureu el motiu. Un disseny que tracta la instància com un punt fix interpretarà cada cas com una fallada de la VPN. L'acció correctiva és fer el servei tolerant a una instància que desapareix, en lloc d'investigar una causa que mai no us mostraran.

Les còpies de seguretat pertanyen a aquesta capa, no al túnel. Guardeu la configuració del servidor, les identitats, el pla d'adreces i les rutes permeses en un lloc que no depengui que la instància sigui accessible, i confirmeu que la còpia es pot restaurar sense el disc original.

El comportament de l'adreça mereix una comprovació pròpia. Que una adreça pública sobrevisqui a una aturada, una substitució o una eliminació depèn de com es va assignar, i les tres operacions no són intercanviables. Anoteu de quina depeneu abans que un incident faci urgent la pregunta.

Comproveu què sobreviu a una reconstrucció

Construïu el camí de recuperació mentre tot funciona. Identifiqueu la consola o l'accés fora de banda que ofereix el proveïdor, confirmeu que hi podeu arribar sense el túnel i guardeu les credencials en un lloc d'on un portàtil espatllat o un telèfon perdut no se les emportin. Si un canvi de tallafocs local bloqueja el túnel, aquesta consola és l'única manera de tornar-hi.

curl -s http://169.254.169.254/latest/meta-data/instance-id
curl -s http://169.254.169.254/latest/meta-data/public-ipv4
cloud-init status --long

El servei de metadades respon preguntes sobre la instància que el convidat no pot veure d'altra manera, i les seves rutes exactes difereixen entre proveïdors i entre plataformes, així que verifiqueu-les amb la documentació del producte que feu servir. Després feu una reconstrucció controlada d'una instància de prova i cronometreu-la. Un procediment de recuperació que ningú no ha executat és una hipòtesi.

Fixeu-vos en què va fer la reconstrucció a l'adreça, a les claus d'amfitrió, a la identitat del disc i a tot allò que els clients fixen. Els clients que van desar una clau d'amfitrió es queixaran després d'una reconstrucció, i aquesta queixa és el comportament correcte, no un error a silenciar.

Decidiu què canvia realment l'allotjament propi

Executar la vostra pròpia VPN trasllada la confiança d'un operador de VPN a un proveïdor d'allotjament i a vosaltres. És un canvi real i no és el mateix que eliminar un tercer. Si l'objectiu era impedir que una VPN comercial observés el trànsit, el proveïdor encara pot observar la xarxa de la instància, el disc i els registres de facturació.

Els vostres registres descriuen el vostre programari i no descriuen tots els registres d'infraestructura que guarda el proveïdor. El contrari també és cert: la visibilitat de la infraestructura no estableix què reté un proveïdor. Totes dues preguntes necessiten la política del proveïdor i la vostra configuració, i cap no respon l'altra.

Escriviu la resposta com una divisió de la feina: quina capa ha fallat, qui la pot reparar i quant triga aquesta reparació. L'allotjament propi canvia en qui confieu, i la part útil de l'exercici és saber exactament per a quina capa hi confieu.