Kombiniertes oder getrenntes VPN-Gateway: nach Fehlerdomäne entscheiden

Geräte zu zählen lehrt Sie nichts. Schreiben Sie auf, was gemeinsam ausfällt, wo Richtlinie durchgesetzt wird und wie Sie das Gateway erreichen, wenn es ausfällt.

Zwei Geräte wirken widerstandsfähiger als eines, bis Ihnen auffällt, dass sie dieselbe Steckdosenleiste, denselben Hypervisor und dieselbe Uplink-Verbindung teilen. Kisten zu zählen beantwortet eine Frage, die niemand gestellt hat; die nützliche Frage ist, was gleichzeitig ausfällt. Schreiben Sie zuerst den Fehlervertrag auf und lassen Sie ihn dann die Topologie wählen. Das folgende Runbook erzeugt diesen Eintrag.

Was während eines Neustarts ausfällt

Listen Sie für ein kombiniertes Gateway auf, was während eines Neustarts, eines fehlgeschlagenen Updates oder eines Hardwarefehlers verschwindet. Wenn Internetzugang und private Konnektivität gemeinsam ausfallen, ist diese geteilte Unterbrechung nun Teil Ihrer Verfügbarkeitsanforderung, ob jemand sie aufgeschrieben hat oder nicht. Dieselbe Übung gilt für ein einzelnes Gerät, das mehrere Rollen beendet: Die Liste der Dienste, die es herunterfährt, ist die eigentliche Spezifikation.

Listen Sie für getrennte Gateways auf, was geteilt bleibt: Strom, der Virtualisierungshost, die Uplink-Verbindung, der Identitätsanbieter, das Managementnetz. Zwei Geräte hinter einem ausgefallenen Switch sind eine Fehlerdomäne mit zwei Hostnamen. Eine Trennung, die diese Abhängigkeiten ignoriert, ist ein Diagramm, kein Entwurf.

Zählen Sie auch den Wartungseigentümer mit. Ein weiteres Gerät bringt Konfiguration, Monitoring, Backups und ein zweites Wiederherstellungsverfahren mit, und nichts davon ist kostenlos.

Markieren Sie, wo jede Regel durchgesetzt wird

Verfolgen Sie ein Paket vom Client zu einer privaten Ressource und zurück und markieren Sie jede Stelle, an der eine Richtlinie angewendet wird. Ein zweiter Router fügt einen weiteren Punkt hinzu, an dem Routenpräferenz, Übersetzung oder Verbindungszustand mit dem ersten uneins sein können. Die meisten rätselhaften Ausfälle in einem Entwurf mit zwei Gateways leben an dieser Naht.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Schreiben Sie auf, wo VPN-Schutz endet und wo die innere Richtlinie beginnt. Wenn der Weg zwischen den beiden Geräten durchlässig ist, hat die zweite Kiste keine Grenze geschaffen; sie hat nur den Ort verschoben, an dem eine Grenze hätte sein können. Auf einer einzigen Plattform können getrennte Richtlinienzonen dennoch wirksam sein, und ihre Wirksamkeit sollte an den Regeln gemessen und nicht verworfen werden, weil die Hardware geteilt wird.

Hören Sie auf, wenn Sie nicht sagen können, welches Gerät die wichtige Regel durchsetzt. Diese Lücke ist der Befund, kein Detail, das später zu klären ist.

Eindämmung ist eine Grenze, kein Gehäuse

Ein getrenntes Gerät enthält eine Kompromittierung nur, wenn der Weg durch es auf das beschränkt ist, was die andere Seite braucht. Wenn beide Geräte jeglichen Verkehr voneinander annehmen, hat ein Angreifer, der auf einem landet, dieselbe Reichweite wie zuvor. Die Eindämmungsbehauptung gehört zum Regelsatz, nicht zum Inventar. Lesen Sie die Regeln, sagen Sie, welche Flüsse erlaubt sind, und entscheiden Sie dann, ob die Trennung etwas gekauft hat.

Dieselbe Logik gilt für Benutzer. Ein VPN-Benutzer, dem wegen des Netzes vertraut wird, aus dem er kam, vertraut dem Standort statt der Identität, und NISTs Zero-Trust-Leitfaden beschreibt die Alternative: jede Anfrage gegen die Ressource authentifizieren und autorisieren. Dieses Prinzip gilt, welches Gehäuse den Tunnel auch beendet.

Wenn die Trennung existiert, um eine Compliance-Linie zu erfüllen, statt einen Fluss zu ändern, sagen Sie das im Eintrag. Eine Kontrolle, die niemand erklären kann, ist die erste, die unter Druck entfernt wird.

Stellen Sie wieder her, was Sie wirklich erreichen

Fragen Sie, welcher Wiederherstellungsweg überlebt, wenn eine der beiden Rollen stirbt. Wenn der einzige Weg zu einem defekten VPN-Gateway durch dieses Gateway führt, hilft ein Ersatzgerät anderswo dem Administrator nicht, der es reparieren muss. Ein Out-of-Band-Weg, eine Konsole und ein dokumentiertes Zurückrollen sind die Teile, die den Entwurf wiederherstellbar machen.

systemctl status strongswan
nft list ruleset
ip -brief address

Dimensionieren Sie den Entwurf für die vollständige unterstützte Arbeitslast statt für eine isolierte Verschlüsselungszahl, weil Filterung und Inspektion dieselbe Hardware verbrauchen. Verwenden Sie Herstellerdokumentation und eigene Messungen, statt anzunehmen, dass Trennung schneller oder langsamer ist. Schreiben Sie dann den Entscheidungseintrag: welche Flüsse erlaubt sind, welche Abhängigkeiten geteilt werden, was ein Wartungsfenster ausfallen lässt, welche Kapazitätsnachweise Sie haben und wer jeden Wiederherstellungsschritt besitzt. Dieser Eintrag ist kurz genug zur Prüfung und konkret genug, um darauf zurückzukommen.

Das Runbook endet, wenn der Fehlervertrag geschrieben ist, der Weiterleitungsweg einen benannten Durchsetzungspunkt pro Regel hat, Eindämmung durch Flüsse statt durch Gerätezahl beschrieben wird und Wiederherstellung von außerhalb der ausgefallenen Komponente funktioniert. Wählen Sie die einfachere Anordnung, die diese Anforderungen erfüllt.

Ähnliche Artikel