Inventari de VPN: accés previst, configuració generada, sessions actives
El nom d’un túnel és una observació, no un registre de servei. Ajunteu l’arrendatari, la configuració desplegada i les proves de comptabilitat abans de retirar res.
Cada nom de túnel sembla una fila d’inventari fins que pregunteu a qui pertany. Un nom us diu que alguna cosa està connectada ara mateix; no us pot dir a qui pertany el servei, què poden assolir, ni si la configuració que va produir el túnel és la que vau aprovar. A escala de flota aquestes tres preguntes són l’inventari, i el túnel només és l’observació més recent.
Un servei, tres registres
El servei previst és allò a què l’arrendatari té dret: identitats, prefixos, recursos i un estat de cicle de vida. La configuració desplegada és la política generada que ha de fer-lo realitat. La sessió observada és una prova d’execució que alguna cosa s’ha connectat. Tractar-les com una sola taula aplega tres menes diferents de veritat en una fila que és incorrecta de tres maneres alhora.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
La prova pràctica és una pregunta que cada registre pot respondre sol. Pregunteu a qui pertany aquest prefix i el registre del servei previst respon. Pregunteu quina política té la passarel·la i el registre desplegat respon. Pregunteu si algú l’ha fet servir aquesta setmana i el registre de sessió respon. La columna que no pot respondre la seva pròpia pregunta és la que cal arreglar primer.
Registreu l’arrendatari, no la interfície
Doneu a cada servei un identificador que sobrevisqui a una reconnexió. Una interfície de túnel temporal o un número de sessió canvien per motius que no tenen res a veure amb el client, i un inventari basat en un d’aquests crea una fila nova cada vegada que un enllaç trontolla. Baseu-lo en l’arrendatari i el servei, i després enganxeu-hi les observacions.
El registre necessita l’arrendatari i l’operador responsables, la identitat d’igual o d’usuari acceptada, una referència a la credencial en lloc d’una còpia, els prefixos protegits, el context d’encaminament, els recursos permesos i l’estat de cicle de vida previst. El material de credencials pertany a l’emmagatzematge de secrets admès; un inventari que porta claus privades s’ha convertit en una segona còpia de l’entorn, pitjor protegida.
La configuració generada té un amo i una versió
L’automatització ho fa més fàcil i ho amaga millor. Un generador que s’executa amb èxit demostra que la plantilla s’ha renderitzat, no que cada dispositiu coincideixi amb la sortida. Algú acabarà canviant una passarel·la a mà durant un incident, i aquest canvi és la cosa més valuosa de capturar, perquè és l’únic que cap execució posterior reproduirà.
Registreu quina revisió va produir la política desplegada, i conserve les edicions directes com una diferència a conciliar en lloc de sobreescriure-les en silenci. La conciliació és el producte aquí: l’èxit del generador i l’estat real del dispositiu són dos fets que cal comparar, no donar per iguals.
Les sessions són proves, no autoritzacions
On el desplegament fa servir comptabilitat RADIUS, l’RFC 2866 dona camps concrets amb què treballar. Acct-Status-Type distingeix un inici d’una aturada, i els registres d’una mateixa sessió comparteixen un Acct-Session-Id. Aquests camps us permeten reconstruir quan va començar i acabar una sessió sense confiar en el resum d’un tauler.
Un identificador de comptabilitat és una prova d’execució. No defineix quin arrendatari posseeix una subxarxa i no atorga accés a res. Correlacioneu-lo amb la passarel·la i la identitat del servei, i després guardeu el moment de recollida al costat de l’observació. Un informe absent pot ser una fallada de telemetria i no una absència d’ús, i un registre antic no és prova que l’accés segueixi actiu ara.
La retirada fa servir la mateixa unió
Treure un servei vol dir treure l’accés previst, les credencials i les sessions actives, en aquest ordre, a través dels amos de cadascun. Després verifiqueu que la configuració obsoleta ha desaparegut dels dispositius i que les seves rutes permeses ja no es resolen. Un client que va marxar el trimestre passat no hauria d’aparèixer encara en una llista de prefixos perquè es va esborrar el nom del túnel però no la ruta.
Res d’això no requereix un aparell per funció ni un producte d’automatització concret. El requisit operatiu és més estret i més difícil: un client, el seu accés previst, la política desplegada i les proves d’execució actuals han de ser unibles sense dependre de la memòria d’algú sobre un nom de túnel. Primer construïu els tres registres i després trieu les eines que els mantenen.