Když IPsec vypadne, náhradní trasa není náhradní politikou

Lokalita ztratí tunel a routovací tabulka stále ukazuje zcela použitelnou cestu k cíli přes internet. Někdo navrhne přejít na ni a tuto změnu nazve opravou routování. Paket by tou cestou mohl jít; otázka, kterou nikdo nepoložil, je, zda smí dorazit bez ochrany. To jsou různé odpovědi z různých tabulek a jejich záměna je způsob, jakým se výpadek stane incidentem.

Dva výsledky, které v routovací tabulce vypadají stejně

Dostupnost říká, že paket má kam jít. Bezpečnostní politika říká, co se s tím paketem musí stát po cestě, a obojí se vynucuje jiným mechanismem. Trasa může existovat pro tok, který politika musí zahodit, a tato kombinace není chybná konfigurace. Právě oddělení obou otázek činí plán pro výpadek vůbec přezkoumatelným.

Cesta pro výpadek je tedy návrhem až poté, co někdo rozhodne, který z povolených výsledků platí. Dokud takové rozhodnutí neexistuje, je náhradní trasa pokušením, nikoli plánem.

Model politiky má tři verdikty, ne dva

Architektura IPsec odděluje provoz, který musí být zahozen, provoz, kterému je dovoleno obejít ochranu, a provoz, který musí být chráněn. To jsou tři odlišné instrukce a prostřední je úmyslná výjimka, nikoli poruchový režim. Čtení těchto instrukcí jako dvojice vytváří falešnou volbu mezi tunelem a otevřenou cestou.

Chybějící asociace tiše nepovýší pravidlo chránit na obejití. Politika stále říká chraň, takže paket čeká nebo umírá, a toto chování je kontrola fungující tak, jak je napsána, ne důkaz, že je politika rozbitá.

Napište požadavek pro svůj tok jako jednu ze tří vět: zastavte, dokud neexistuje chráněná cesta, přejděte na jinou chráněnou cestu, nebo použijte cestu, které je samostatně povoleno běžet bez IPsec. Jen třetí mění bezpečnostní smlouvu a potřebuje vlastníka, který ji může podepsat. Tato věta patří do záznamu o změně, ne do něčí paměti. Recenzenti schvalují druhou větu a odmítají třetí a obě rozhodnutí jsou rozumná, když jsou viditelná.

Obejití je smlouva, kterou podepisují oba konce

Alternativní cesta potřebuje směrovatelné adresy, výslovné přijetí tam, kam dorazí, a zpáteční cestu, která funguje oběma směry. Soukromé adresy lokality se nestanou dostupnými proto, že výchozí trasa někam ukazuje.

Autentizace je stejně důležitá jako adresování. Provoz, který obejde tunel a dorazí na hranici očekávající ochranu, je odmítnut, i když přistane na správném rozhraní, takže přijímací politika musí takový tvar záměrně přijmout. Výjimka, na které se vzdálená strana nikdy nedohodla, je výpadek s kroky navíc.

Odebrání selektoru nebo uvolnění mapy, aby náhrada fungovala, není řízená výjimka. Rozšiřuje to, co je vyňato, nechává vzdálenou stranu vynucovat něco jiného a může změnit, které pravidlo překladu toku odpovídá.

Překlad a přijetí mění aritmetiku

Překlad může předložit jiný pohled na adresy, ale dopředné a zpětné mapování musí souhlasit s alternativní cestou. Jednosměrné mapování vytváří spojení, které se otevře a pak visí. Polovina mapování je horší než žádné, protože vypadá jako pokrok.

Přijetí je druhá polovina. Přijímající strana musí mít výslovné pravidlo pro tento provoz, vlastní logování a způsob, jak ve tři ráno rozeznat schválenou výjimku od chyby.

Obnova patří do návrhu

Zaznamenejte, jak se porucha zjišťuje, která politika vybírá náhradu a co se stane se sezeními, která běžela, když nastala. Nové spojení může po přepnutí uspět, zatímco starší si drží stav vázaný na adresu, která už neplatí.

Preferujte jinou chráněnou cestu, kdykoli požadavek zní nepřetržitá ochrana. Kde je nechráněná výjimka skutečně nutná, ohraničte ji zdroji, cíli, službami a dobou trvání a zapište, jak se odvolává.

Testujte oba stavy, ne jen výpadek

Přijetí pokrývá případ selhaného tunelu i obnovený stav, s kontrolou aplikace u každého. Zajímavý výsledek není to, že pakety zůstaly v pohybu, ale že se pohybovaly jen podle smlouvy, kterou organizace zvolila.

Přidejte i test odvolání. Výjimka, kterou nikdo nedokáže vypnout, se tiše stala trvalou politikou, a přesně před tím původní pravidlo chránilo. Dejte na ni platnost a jmenovaného recenzenta, jinak výjimka přežije všechny, kdo jí rozuměli.