Kombineret eller separat VPN-gateway: vælg efter fejldomæne

To enheder ser mere robuste ud end én, indtil du bemærker, at de deler samme strømskinne, samme hypervisor og samme uplink. At tælle kasser besvarer et spørgsmål, ingen stillede; det nyttige spørgsmål er, hvad der fejler samtidig. Skriv fejlkontrakten ned først, og lad den derefter vælge topologien. Runbooken nedenfor producerer den registrering.

Hvad stopper under én genstart

For en kombineret gateway skal du liste op, hvad der forsvinder under en genstart, en mislykket opdatering eller en hardwarefejl. Hvis internetadgang og privat forbindelse stopper samtidig, er den fælles afbrydelse nu en del af dit tilgængelighedskrav, uanset om nogen har skrevet det ned. Samme øvelse gælder for én enhed, der afslutter flere roller: listen over tjenester, den tager ned, er den egentlige specifikation.

For separate gateways skal du liste op, hvad der forbliver delt: strøm, virtualiseringsværten, uplinket, identitetsudbyderen, administrationsnetværket. To enheder bag én fejlet switch er ét fejldomæne med to værtsnavne. Adskillelse, der ignorerer disse afhængigheder, er et diagram, ikke et design.

Tæl også vedligeholdelsesejerskabet med. En anden enhed bringer konfiguration, overvågning, backup og en anden gendannelsesprocedure, og intet af det er gratis.

Markér, hvor hver regel håndhæves

Følg én pakke fra klienten til en privat ressource og tilbage, og markér hvert sted, hvor en politik anvendes. En anden router tilføjer endnu et punkt, hvor rutepræference, oversættelse eller forbindelsestilstand kan være uenig med den første. De fleste mystiske fejl i et design med to gateways bor på den samling.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Skriv ned, hvor VPN-beskyttelse slutter, og hvor den indre politik begynder. Hvis vejen mellem de to enheder er eftergivende, har den anden kasse ikke skabt en grænse; den har kun flyttet det sted, hvor en grænse kunne have været. På én platform kan adskilte politikzoner stadig være effektive, og deres effektivitet bør vurderes ud fra reglerne i stedet for afvises, fordi hardwaren deles.

Stop, hvis du ikke kan sige, hvilken enhed der håndhæver den regel, der betyder noget. Det hul er fundet, ikke en detalje, der skal afgøres senere.

Indeslutning er en grænse, ikke et kabinet

En separat enhed indeholder et kompromis kun, når vejen gennem den er begrænset til det, den anden side har brug for. Hvis begge enheder accepterer enhver trafik fra hinanden, har en angriber, der lander på én, samme rækkevidde som før. Indeslutningspåstanden hører til regelsættet, ikke til opgørelsen. Læs reglerne, sig hvilke strømme der er tilladte, og afgør derefter, om opdelingen købte noget.

Samme logik gælder for brugere. En VPN-bruger, der er betroet på grund af det netværk, de kom fra, betror sig til placering i stedet for identitet, og NISTs nul-tillidsvejledning beskriver alternativet: godkend og autorisér hver anmodning mod ressourcen. Det princip gælder, uanset hvilket kabinet der afslutter tunnelen.

Hvis opdelingen findes for at opfylde en compliance-linje snarere end for at ændre en strøm, så sig det i registreringen. En kontrol, ingen kan forklare, er den første, der fjernes under pres.

Gendan det, du faktisk kan nå

Spørg, hvilken gendannelsesvej der overlever, når en af rollerne dør. Når den eneste måde at nå en brækket VPN-gateway på går gennem den gateway, hjælper en reservedel andetsteds ikke administratoren, der skal reparere den. En out-of-band-vej, en konsol og en dokumenteret tilbagerulning er de dele, der gør designet gendanneligt.

systemctl status strongswan
nft list ruleset
ip -brief address

Dimensionér designet til den fulde understøttede arbejdsbyrde i stedet for et isoleret krypteringstal, fordi filtrering og inspektion bruger den samme hardware. Brug leverandørdokumentation og dine egne målinger i stedet for at antage, at adskillelse er hurtigere eller langsommere. Skriv derefter beslutningsregistreringen: hvilke strømme er tilladte, hvilke afhængigheder deles, hvad tager et vedligeholdelsesvindue ned, hvilke kapacitetsbeviser har du, og hvem ejer hvert gendannelsestrin. Den registrering er kort nok at gennemgå og specifik nok til at vende tilbage til.

Runbooken slutter, når fejlkontrakten er skrevet, videresendelsesvejen har ét navngivet håndhævelsespunkt pr. regel, indeslutning er beskrevet ved strømme i stedet for ved enhedsantal, og gendannelse virker udefra den fejlede komponent. Vælg den enklere ordning, der opfylder disse krav.