Kombinovaná, nebo samostatná VPN brána: vyberte podle domény selhání

Dvě zařízení vypadají odolněji než jedno, dokud si nevšimnete, že sdílejí stejnou zásuvku, stejný hypervizor a stejné upstreamové spojení. Počítání krabic odpovídá na otázku, kterou nikdo nepoložil; užitečná otázka je, co selhává ve stejnou dobu. Nejprve zapište kontrakt selhání a pak ať vybere topologii. Následující runbook tento záznam vytvoří.

Co se zastaví během jednoho restartu

U kombinované brány vypište, co zmizí během restartu, neúspěšné aktualizace nebo poruchy hardwaru. Pokud se přístup k internetu i soukromé připojení zastaví společně, je toto sdílené přerušení nyní součástí vašeho požadavku na dostupnost, ať už to někdo zapsal, nebo ne. Stejné cvičení platí pro jedno zařízení, které ukončuje několik rolí: seznam služeb, které shodí, je skutečná specifikace.

U samostatných bran vypište, co zůstává sdílené: napájení, hostitel virtualizace, upstreamové spojení, poskytovatel identity, síť pro správu. Dvě zařízení za jedním selhaným přepínačem jsou jedna doména selhání se dvěma názvy hostitelů. Oddělení, které tyto závislosti ignoruje, je diagram, ne návrh.

Započítejte i vlastnictví údržby. Další zařízení přináší konfiguraci, monitoring, zálohy a druhý postup obnovy a nic z toho není zdarma.

Označte, kde se každé pravidlo prosazuje

Sledujte jeden paket od klienta k soukromému zdroji a zpět a označte každé místo, kde se uplatňuje politika. Druhý router přidává další bod, kde se preference trasy, překlad nebo stav spojení mohou rozejít s prvním. Většina záhadných selhání v návrhu se dvěma branami žije na tomto švu.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Zapište, kde končí ochrana VPN a kde začíná vnitřní politika. Pokud je cesta mezi oběma zařízeními propustná, druhá krabice nevytvořila hranici; jen přesunula místo, kde hranice mohla být. Na jedné platformě mohou být oddělené zóny politiky stále účinné a jejich účinnost se má posuzovat podle pravidel, ne odmítat proto, že hardware je sdílený.

Přestaňte, pokud nedokážete říci, které zařízení prosazuje pravidlo, na kterém záleží. Tato mezera je zjištění, ne detail k pozdějšímu vyřešení.

Izolace je hranice, ne šasi

Samostatné zařízení zadrží kompromis jen tehdy, když je cesta skrze něj omezena na to, co druhá strana potřebuje. Pokud obě zařízení přijímají jakýkoli provoz od sebe navzájem, útočník, který přistane na jednom, má stejný dosah jako dřív. Tvrzení o izolaci patří sadě pravidel, ne inventáři. Přečtěte pravidla, řekněte, které toky jsou povoleny, a pak rozhodněte, zda oddělení něco koupilo.

Stejná logika platí pro uživatele. Uživatel VPN, kterému se věří kvůli síti, ze které přišel, věří umístění místo identitě, a pokyny NIST k nulové důvěře popisují alternativu: ověřte a autorizujte každý požadavek vůči zdroji. Tento princip platí bez ohledu na to, které šasi tunel ukončuje.

Pokud oddělení existuje, aby splnilo linii shody, a ne aby změnilo tok, řekněte to v záznamu. Kontrola, kterou nikdo nedokáže vysvětlit, je první, která se pod tlakem odstraní.

Obnovte to, na co skutečně dosáhnete

Zeptejte se, která cesta obnovy přežije, když kterákoli role zemře. Když jediná cesta k rozbité VPN bráně vede přes tuto bránu, náhradní zařízení jinde nepomůže správci, který ji musí opravit. Mimosmírová cesta, konzole a zdokumentovaný návrat jsou části, které činí návrh obnovitelným.

systemctl status strongswan
nft list ruleset
ip -brief address

Dimenzujte návrh na celou podporovanou pracovní zátěž, ne na izolované číslo šifrování, protože filtrování a inspekce spotřebovávají stejný hardware. Použijte dokumentaci dodavatele a vlastní měření místo předpokladu, že oddělení je rychlejší nebo pomalejší. Pak napište záznam rozhodnutí: které toky jsou povoleny, které závislosti jsou sdílené, co shodí okno údržby, jaké důkazy o kapacitě máte a kdo vlastní každý krok obnovy. Ten záznam je dost krátký na revizi a dost konkrétní na to, abyste se k němu vrátili.

Runbook končí, když je kontrakt selhání zapsán, předávací cesta má jeden pojmenovaný bod prosazení na pravidlo, izolace je popsána toky, ne počtem zařízení, a obnova funguje zvenčí selhané součásti. Zvolte jednodušší uspořádání, které tyto požadavky splňuje.