Quan IPsec cau, una ruta de reserva no és una política de reserva

Un lloc perd el seu túnel, i la taula d’encaminament encara mostra un camí perfectament utilitzable cap a la destinació per internet. Algú proposa fer-hi la commutació per fallada i anomena el canvi una correcció d’encaminament. El paquet podria viatjar per aquell camí; la pregunta que ningú no ha fet és si li és permès arribar-hi sense protecció. Són respostes diferents de taules diferents, i barrejar-les és com una interrupció es converteix en un incident.

Dos resultats que semblen idèntics en una taula d’encaminament

L’abastabilitat diu que un paquet té on anar. Una política de seguretat diu què ha de passar amb aquest paquet pel camí, i les dues s’apliquen amb maquinària diferent. Una ruta pot existir per a un flux que la política ha de descartar, i aquesta combinació no és una configuració errònia. Separar les dues preguntes és el que fa que un pla d’interrupció sigui revisable.

Així, un camí d’interrupció només és un disseny després que algú decideixi quin dels resultats permesos s’aplica. Mentre no existeixi aquesta decisió, la ruta de reserva és una temptació més que un pla.

El model de política té tres veredictes, no dos

L’arquitectura IPsec separa el trànsit que s’ha de descartar, el trànsit que pot saltar-se la protecció i el trànsit que s’ha de protegir. Són tres instruccions diferents, i la del mig és una exempció deliberada, no un mode de fallada. Llegir-les com una parella és el que produeix la falsa tria entre un túnel i una carretera oberta.

Una associació absent no promou silenciosament una regla de protecció a un salt. La política encara diu protegeix, així que el paquet espera o mor, i aquest comportament és el control funcionant tal com està escrit, no una prova que la política estigui trencada.

Escriviu el requisit del vostre flux com una de tres frases: atureu-vos fins que existeixi un camí protegit, canvieu a un altre camí protegit, o useu un camí autoritzat per separat a funcionar sense IPsec. Només la tercera canvia el contracte de seguretat, i necessita un propietari que el pugui signar. Aquesta frase va al registre de canvis, no a la memòria d’algú. Els revisors aproven la segona frase i refusen la tercera, i les dues decisions són raonables quan són visibles.

Una exempció és un contracte que signen els dos extrems

Un camí alternatiu necessita adreces encaminables, admissió explícita on arriba i un camí de resposta que funcioni en tots dos sentits. Les adreces privades del lloc no esdevenen abastables perquè una ruta per defecte apunti enlloc.

L’autenticació importa tant com l’adreçament. El trànsit que salta el túnel i arriba a una frontera que espera protecció és rebutjat fins i tot quan cau a la interfície correcta, així que la política de recepció ha d’acceptar aquesta forma a propòsit. Una exempció amb què l’extrem remot no ha acceptat mai és una interrupció amb passos extres.

Treure un selector o afluixar un mapa per fer funcionar la reserva no és una exempció controlada. Amplia què queda exempt, deixa l’extrem remot aplicant una cosa diferent i pot canviar quina regla de traducció encaixa amb el flux.

La traducció i l’admissió canvien l’aritmètica

La traducció pot presentar una altra vista d’adreces, però els mapatges directe i invers han de concordar amb el camí alternatiu. Un mapatge unidireccional produeix una connexió que s’obre i després es penja. Mig mapatge és pitjor que cap, perquè sembla progrés.

L’admissió és la segona meitat. El costat receptor ha de tenir una regla explícita per a aquest trànsit, el seu propi registre i una manera de distingir a les tres de la matinada una exempció aprovada d’un error.

La restauració forma part del disseny

Anoteu com es detecta la fallada, quina política tria el reemplaçament i què passa amb les sessions que estaven en curs quan va ocórrer. Una connexió nova pot tenir èxit després de la commutació mentre una de més antiga manté estat lligat a una adreça que ja no s’aplica.

Preferiu un altre camí protegit sempre que el requisit sigui protecció contínua. On una excepció sense protecció sigui realment necessària, limiteu-la per fonts, destinacions, serveis i una durada, i anoteu com es retira.

Proveu tots dos estats, no només la interrupció

L’acceptació cobreix el cas del túnel fallit i el restaurat, amb una comprovació d’aplicació a cadascun. El resultat interessant no és que els paquets continuessin movent-se, sinó que es van moure només sota el contracte que l’organització va triar.

Afegiu també la prova de retirada. Una excepció que ningú no pot desactivar s’ha convertit silenciosament en política permanent, que és exactament allò contra què protegia la regla original. Poseu-hi una data de caducitat i un revisor anomenat, o l’exempció sobreviurà tots els qui la van entendre.