Passarel·la VPN combinada o separada: tria segons el domini de fallada

Dos aparells semblen més resistents que un fins que t'adones que comparteixen la mateixa regleta, el mateix hipervisor i el mateix enllaç ascendent. Comptar caixes respon una pregunta que ningú no ha fet; la pregunta útil és què falla al mateix temps. Escriu primer el contracte de fallada i deixa que triï la topologia. El runbook següent produeix aquest registre.

Què s'atura durant un reinici

Per a una passarel·la combinada, llista què desapareix durant un reinici, una actualització fallida o una avaria de maquinari. Si l'accés a internet i la connectivitat privada s'aturen tots dos, aquesta interrupció compartida ja forma part del teu requisit de disponibilitat, tant si algú ho ha escrit com si no. El mateix exercici s'aplica a un sol aparell que acaba diversos rols: la llista de serveis que fa caure és l'especificació real.

Per a passarel·les separades, llista què continua compartit: l'energia, l'amfitrió de virtualització, l'enllaç ascendent, el proveïdor d'identitat, la xarxa de gestió. Dos aparells darrere d'un commutador fallit són un sol domini de fallada amb dos noms d'amfitrió. Una separació que ignora aquestes dependències és un diagrama, no un disseny.

Compta també la propietat del manteniment. Un altre aparell aporta configuració, monitoratge, còpies de seguretat i un segon procediment de recuperació, i res d'això no és gratuït.

Marca on s'aplica cada regla

Segueix un paquet del client a un recurs privat i de tornada, i marca cada lloc on s'aplica una política. Un segon encaminador afegeix un altre punt on la preferència de ruta, la traducció o l'estat de connexió poden discrepar del primer. La majoria de fallades misterioses en un disseny de dues passarel·les viuen en aquesta costura.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Anota on acaba la protecció VPN i on comença la política interna. Si el camí entre els dos aparells és permissiu, la segona caixa no ha creat cap frontera; només ha mogut el lloc on una frontera hauria pogut ser. En una sola plataforma, les zones de política diferents encara poden ser eficaces, i la seva eficàcia s'ha d'avaluar segons les regles, no descartar-se perquè el maquinari és compartit.

Atura't si no pots dir quin aparell aplica la regla que importa. Aquest buit és la troballa, no un detall a resoldre més tard.

El confinament és una frontera, no un xassís

Un aparell separat conté un compromís només quan el camí que el travessa es limita al que l'altre costat necessita. Si tots dos aparells accepten qualsevol trànsit de l'altre, un atacant que arriba a un té el mateix abast que abans. L'afirmació de confinament pertany al conjunt de regles, no a l'inventari. Llegeix les regles, digues quins fluxos estan permesos i després decideix si la separació ha comprat res.

La mateixa lògica s'aplica als usuaris. Un usuari de VPN en qui es confia per la xarxa d'on ve confia en la ubicació en lloc de la identitat, i la guia de confiança zero de NIST descriu l'alternativa: autentica i autoritza cada sol·licitud contra el recurs. Aquest principi es manté sigui quin sigui el xassís que acaba el túnel.

Si la separació existeix per satisfer una línia de compliment i no per canviar un flux, digues-ho al registre. Un control que ningú no pot explicar és el primer que es retira sota pressió.

Recupera el que realment pots abastar

Pregunta quin camí de recuperació sobreviu quan mor qualsevol dels dos rols. Quan l'única manera d'arribar a una passarel·la VPN trencada passa per aquesta passarel·la, un aparell de recanvi en un altre lloc no ajuda l'administrador que l'ha d'arreglar. Un camí fora de banda, una consola i un retorn documentat són les peces que fan recuperable el disseny.

systemctl status strongswan
nft list ruleset
ip -brief address

Dimensiona el disseny per a la càrrega de treball completa suportada i no per a un número d'encriptació aïllat, perquè el filtratge i la inspecció consumeixen el mateix maquinari. Fes servir la documentació del proveïdor i les teves pròpies mesures en lloc de suposar que la separació és més ràpida o més lenta. Després escriu el registre de decisió: quins fluxos estan permesos, quines dependències són compartides, què fa caure una finestra de manteniment, quines proves de capacitat tens i qui és propietari de cada pas de recuperació. Aquest registre és prou curt per revisar-lo i prou concret per tornar-hi.

El runbook acaba quan el contracte de fallada està escrit, el camí de reenviament té un sol punt d'aplicació anomenat per regla, el confinament es descriu amb fluxos i no amb el nombre d'aparells, i la recuperació funciona des de fora del component fallit. Tria l'ordenació més simple que compleixi aquests requisits.