Porth VPN gyfun neu ar wahân: dewiswch yn ôl parth methu

Mae dau offer yn edrych yn fwy gwydn nag un nes sylwi eu bod yn rhannu'r un strip pŵer, yr un hypervisor a'r un cyswllt i fyny'r afon. Mae cyfrif blychau'n ateb cwestiwn na ofynnodd neb; y cwestiwn defnyddiol yw beth sy'n methu ar yr un pryd. Ysgrifennwch y contract methu yn gyntaf, yna gadewch iddo ddewis y topoleg. Mae'r runbook isod yn cynhyrchu'r cofnod hwnnw.

Beth sy'n stopio yn ystod un ailgychwyn

Ar gyfer porth gyfun, rhestrwch beth sy'n diflannu yn ystod ailgychwyn, diweddariad wedi methu neu fethiant caledwedd. Os yw mynediad i'r rhyngrwyd a chysylltedd preifat yn stopio gyda'i gilydd, mae'r ymyrraeth gyfrannol honno bellach yn rhan o'ch gofyniad argaeledd, p'un a ysgrifennodd rhywun ef ai peidio. Mae'r un ymarferiad yn berthnasol i un offer sy'n terfynu sawl rôl: y rhestr o wasanaethau y mae'n eu datgysylltu yw'r fanyleb go iawn.

Ar gyfer porthladdoedd ar wahân, rhestrwch beth sy'n parhau i fod yn gyfrannol: pŵer, y gwesteiwr rhithwir, y cyswllt i fyny'r afon, y darparwr hunaniaeth, y rhwydwaith rheoli. Dau offer y tu ôl i un switsh sydd wedi methu yw un parth methu â dau enw gwesteiwr. Mae gwahanu sy'n anwybyddu'r dibyniaethau hynny yn ddiagram, nid yn ddyluniad.

Cyfrwch y perchnogaeth cynnal a chadw hefyd. Mae offer arall yn dod â chyfluniad, monitro, copïau wrth gefn ac ail weithdrefn adfer, ac nid oes unrhyw beth o hynny am ddim.

Nodwch ble mae pob rheol yn cael ei gorfodi

Olrheiniwch un pecyn o'r cleient i adnodd preifat ac yn ôl, a nodwch bob man lle mae polisi'n cael ei gymhwyso. Mae ail lwybrydd yn ychwanegu pwynt arall lle gall ffafriaeth llwybr, cyfieithu neu gyflwr cysylltiad anghytuno â'r cyntaf. Mae'r rhan fwyaf o fethiannau dirgel mewn dyluniad dwy borth yn byw ar y gwythïen honno.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Ysgrifennwch ble mae amddiffyniad VPN yn gorffen a ble mae'r polisi mewnol yn dechrau. Os yw'r llwybr rhwng y ddau offer yn ganiataol, nid yw'r ail flwch wedi creu ffin; dim ond symud y man lle y gallai ffin fod. Ar un platfform, gall parthau polisi gwahanol fod yn effeithiol o hyd, a dylid asesu eu heffeithiolrwydd o'r rheolau yn hytrach na'i ddiystyru oherwydd bod y caledwedd yn gyfrannol.

Stopiwch os na allwch ddweud pa offer sy'n gorfodi'r rheol sy'n bwysig. Y bwlch hwnnw yw'r canfyddiad, nid manylyn i'w setlo yn ddiweddarach.

Mae cynwys yn ffin, nid yn siasi

Mae offer ar wahân yn cynnwys cyfaddawd dim ond pan fydd y llwybr drwyddo wedi'i gyfyngu i'r hyn y mae'r ochr arall ei angen. Os yw'r ddau offer yn derbyn unrhyw draffig oddi wrth ei gilydd, mae ymosodwr sy'n glanio ar un yn cael yr un gyrhaeddiad ag o'r blaen. Mae'r honiad cynwys yn perthyn i'r set rheolau, nid i'r rhestr eiddo. Darllenwch y rheolau, dywedwch ba ffrydiau sy'n cael eu caniatáu, yna penderfynwch a yw'r hollt wedi prynu unrhyw beth.

Mae'r un rhesymeg yn berthnasol i ddefnyddwyr. Mae defnyddiwr VPN sy'n cael ei ymddiried oherwydd y rhwydwaith y daeth ohono yn ymddiried mewn lleoliad yn lle hunaniaeth, ac mae canllaw sero-ymddiried NIST yn disgrifio'r dewis arall: dilysu ac awdurdodi pob cais yn erbyn yr adnodd. Mae'r egwyddor honno'n dal pa bynnag siasi sy'n terfynu'r twnnel.

Os yw'r hollt yn bodoli i fodloni llinell gydymffurfio yn hytrach nag i newid ffrwd, dywedwch hynny yn y cofnod. Rheolaeth na all neb ei hesbonio yw'r gyntaf i'w thynnu dan bwysau.

Adferwch yr hyn y gallwch ei gyrraedd mewn gwirionedd

Gofynnwch pa lwybr adfer sy'n goroesi pan fydd naill ai rôl yn marw. Pan mai'r unig ffordd i gyrraedd porth VPN sydd wedi torri yw trwy'r borth honno, nid yw offer sbâr mewn man arall yn helpu'r gweinyddwr sydd angen ei thrwsio. Llwybr all-fand, consol ac adferiad dogfennol yw'r rhannau sy'n gwneud y dyluniad yn adferadwy.

systemctl status strongswan
nft list ruleset
ip -brief address

Maintiwch y dyluniad ar gyfer y llwyth gwaith cefnogol cyflawn yn hytrach na rhif amgryptio ar wahân, oherwydd mae hidlo ac archwilio'n defnyddio'r un caledwedd. Defnyddiwch ddogfennaeth y gwerthwr a'ch mesuriadau eich hun yn lle tybio bod gwahanu'n gyflymach neu'n arafach. Yna ysgrifennwch y cofnod penderfyniad: pa ffrydiau sy'n cael eu caniatáu, pa ddibyniaethau sy'n gyfrannol, beth mae ffenestr cynnal a chadw yn ei ddatgysylltu, pa dystiolaeth gallu sydd gennych, a phwy sy'n berchen ar bob cam adfer. Mae'r cofnod hwnnw'n ddigon byr i'w adolygu ac yn ddigon penodol i ddychwelyd ato.

Mae'r runbook yn gorffen pan fydd y contract methu wedi'i ysgrifennu, gan fod y llwybr anfon un pwynt gorfodi a enwir fesul rheol, mae cynwys yn cael ei ddisgrifio gan ffrydiau yn hytrach na chan nifer yr offer, ac mae adfer yn gweithio o'r tu allan i'r gydran fethu. Dewiswch y trefniant symlach sy'n bodloni'r gofynion hynny.