Når IPsec falder ud, er en reserverute ikke en reservepolitik

Et sted mister sin tunnel, og rutetabellen viser stadig en fuldt brugbar vej til destinationen gennem internettet. Nogen foreslår at skifte over til den og kalder ændringen en rutningsreparation. Pakken kunne godt tage den vej; spørgsmålet, som ingen stillede, er, om den må ankomme uden beskyttelse. Det er forskellige svar fra forskellige tabeller, og at blande dem er måden, hvorpå et udfald bliver en hændelse.

To udfald, der ser ens ud i en rutetabel

Nåbarhed siger, at en pakke har et sted at gå hen. En sikkerhedspolitik siger, hvad der skal ske med den pakke undervejs, og de to håndhæves af forskellige maskinerier. Der kan findes en rute for en strøm, som politikken er forpligtet til at kassere, og den kombination er ikke en fejlkonfiguration. Det er adskillelsen af de to spørgsmål, der gør en udfaldsplan overhovedet gennemgåelig.

Så en udfaldsvej er først et design, når nogen har besluttet, hvilket af de tilladte udfald der gælder. Indtil den beslutning findes, er reserveruten en fristelse snarere end en plan.

Politikmodellen har tre kendelser, ikke to

IPsec-arkitekturen skelner mellem trafik, der skal kasseres, trafik der må omgå beskyttelse, og trafik der skal beskyttes. Det er tre forskellige instrukser, og den midterste er en bevidst undtagelse, ikke en fejltilstand. Det er læsningen af dem som et par, der skaber det falske valg mellem en tunnel og en åben vej.

En manglende association forfremmer ikke lydløst en beskyttelsesregel til en omgåelse. Politikken siger stadig beskyt, så pakken venter eller dør, og den adfærd er kontrollen, der virker som skrevet, ikke bevis for at politikken er brudt.

Skriv kravet for din strøm som en af tre sætninger: stop, indtil der findes en beskyttet vej, skift til en anden beskyttet vej, eller brug en vej, der særskilt er godkendt til at køre uden IPsec. Kun den tredje ændrer sikkerhedskontrakten, og den kræver en ejer, som kan underskrive den. Den sætning hører i ændringsprotokollen, ikke i nogens hukommelse. Bedømmere godkender den anden sætning og afviser den tredje, og begge beslutninger er rimelige, når de er synlige.

En omgåelse er en kontrakt, begge ender underskriver

En alternativ vej kræver ruterbare adresser, eksplicit adgang der, hvor den ankommer, og en svarvej, der virker i begge retninger. Private stedsadresser bliver ikke nåbare, fordi en standardrute peger et sted hen.

Autentificering betyder lige så meget som adressering. Trafik, der springer tunnelen over og ankommer til en grænse, som forventer beskyttelse, afvises, selv når den lander på det rigtige interface, så den modtagende politik skal bevidst acceptere den form. En undtagelse, som den fjerne ende aldrig har accepteret, er et udfald med ekstra trin.

At fjerne en selector eller løsne et map for at få reservevejen til at virke er ikke en kontrolleret undtagelse. Det udvider, hvad der er undtaget, lader den fjerne ende håndhæve noget andet og kan ændre, hvilken oversættelsesregel der matcher strømmen.

Oversættelse og adgang ændrer regnestykket

Oversættelse kan vise en anden adressevisning, men frem- og tilbagekortlægningen skal stemme med den alternative vej. En envejs kortlægning giver en forbindelse, der åbner og derefter hænger. Halv kortlægning er værre end ingen, fordi det ligner fremskridt.

Adgang er den anden halvdel. Den modtagende side skal have en udtrykkelig regel for denne trafik, sin egen logning og en måde at skelne en godkendt undtagelse fra en fejl klokken tre om natten.

Genopretning hører i designet

Noter, hvordan fejlen opdages, hvilken politik der vælger erstatningen, og hvad der sker med sessioner, der kørte, da det skete. En ny forbindelse kan lykkes efter overgangen, mens en ældre holder tilstand bundet til en adresse, der ikke længere gælder.

Foretræk en anden beskyttet vej, når kravet er vedvarende beskyttelse. Hvor en ubeskyttet undtagelse er virkelig nødvendig, skal du afgrænse den med kilder, destinationer, tjenester og en varighed og skrive ned, hvordan den trækkes tilbage.

Test begge tilstande, ikke kun udfaldet

Accepten dækker tilfældet med den fejlede tunnel og det genoprettede, med en applikationskontrol på hvert. Det interessante resultat er ikke, at pakkerne blev ved med at bevæge sig, men at de kun bevægede sig under den kontrakt, organisationen valgte.

Tilføj også tilbagetrækningstesten. En undtagelse, som ingen kan slå fra, er stille blevet permanent politik, og det er netop det, den oprindelige regel beskyttede imod. Sæt en udløbsdato og en navngivet bedømmer på den, ellers overlever undtagelsen alle, der forstod den.