Wenn IPsec ausfällt, ist eine Ersatzroute keine Ersatzrichtlinie

Ein Standort verliert seinen Tunnel, und die Routing-Tabelle zeigt weiterhin einen vollkommen nutzbaren Pfad zum Ziel über das Internet. Jemand schlägt vor, dorthin umzuschalten, und nennt die Änderung eine Routing-Korrektur. Das Paket könnte diesen Weg nehmen; die Frage, die niemand gestellt hat, ist, ob es ungeschützt ankommen darf. Das sind unterschiedliche Antworten aus unterschiedlichen Tabellen, und ihre Verwechslung ist der Weg, auf dem eine Störung zum Vorfall wird.

Zwei Ergebnisse, die in einer Routing-Tabelle gleich aussehen

Erreichbarkeit sagt, dass ein Paket irgendwohin gelangen kann. Eine Sicherheitsrichtlinie sagt, was mit diesem Paket unterwegs geschehen muss, und beides wird von unterschiedlichen Mechanismen durchgesetzt. Eine Route kann für einen Fluss existieren, den die Richtlinie verwerfen muss, und diese Kombination ist keine Fehlkonfiguration. Erst die Trennung der beiden Fragen macht einen Ausfallplan überhaupt überprüfbar.

Ein Ausfallpfad ist also erst dann ein Entwurf, wenn jemand entschieden hat, welches der zulässigen Ergebnisse gilt. Bis diese Entscheidung existiert, ist die Ersatzroute eine Versuchung und kein Plan.

Das Richtlinienmodell hat drei Urteile, nicht zwei

Die IPsec-Architektur trennt Verkehr, der verworfen werden muss, Verkehr, dem das Umgehen des Schutzes erlaubt ist, und Verkehr, der geschützt werden muss. Das sind drei verschiedene Anweisungen, und die mittlere ist eine bewusste Ausnahme und kein Fehlerzustand. Sie als Paar zu lesen erzeugt die falsche Wahl zwischen einem Tunnel und einer offenen Straße.

Eine fehlende Assoziation befördert eine Schutzregel nicht stillschweigend zu einer Umgehung. Die Richtlinie sagt weiterhin schützen, also wartet das Paket oder stirbt, und dieses Verhalten ist die Kontrolle, die wie geschrieben arbeitet, kein Beweis für eine defekte Richtlinie.

Schreiben Sie die Anforderung für Ihren Fluss als einen von drei Sätzen: anhalten, bis ein geschützter Pfad existiert, auf einen anderen geschützten Pfad wechseln, oder einen Pfad nutzen, der gesondert dafür freigegeben ist, ohne IPsec zu laufen. Nur der dritte ändert den Sicherheitsvertrag, und er braucht einen Eigentümer, der ihn unterschreiben kann. Dieser Satz gehört in den Änderungsdatensatz, nicht in jemandes Gedächtnis. Prüfer genehmigen den zweiten Satz und lehnen den dritten ab, und beide Entscheidungen sind vernünftig, wenn sie sichtbar sind.

Eine Umgehung ist ein Vertrag, den beide Enden unterschreiben

Ein alternativer Pfad braucht routbare Adressen, ausdrückliche Zulassung dort, wo er ankommt, und einen Antwortpfad, der in beide Richtungen funktioniert. Private Standortadressen werden nicht dadurch erreichbar, dass eine Standardroute irgendwohin zeigt.

Authentifizierung zählt so viel wie Adressierung. Verkehr, der den Tunnel überspringt und an einer Grenze ankommt, die Schutz erwartet, wird abgewiesen, selbst wenn er auf der richtigen Schnittstelle landet, also muss die empfangende Richtlinie diese Form bewusst annehmen. Eine Ausnahme, der die Gegenseite nie zugestimmt hat, ist ein Ausfall mit zusätzlichen Schritten.

Einen Selektor zu entfernen oder eine Map zu lockern, damit der Ersatzweg funktioniert, ist keine kontrollierte Ausnahme. Es erweitert, was ausgenommen ist, lässt die Gegenseite etwas anderes durchsetzen und kann ändern, welche Übersetzungsregel auf den Fluss passt.

Übersetzung und Zulassung verändern die Rechnung

Übersetzung kann eine andere Adresssicht zeigen, aber die Hin- und Rückabbildung müssen zum alternativen Pfad passen. Eine einseitige Abbildung erzeugt eine Verbindung, die sich öffnet und dann hängt. Eine halbe Abbildung ist schlimmer als keine, weil sie wie Fortschritt aussieht.

Zulassung ist die zweite Hälfte. Die empfangende Seite braucht eine ausdrückliche Regel für diesen Verkehr, eigene Protokollierung und eine Möglichkeit, um drei Uhr morgens eine genehmigte Ausnahme von einem Fehler zu unterscheiden.

Wiederherstellung gehört in den Entwurf

Halten Sie fest, wie der Ausfall erkannt wird, welche Richtlinie den Ersatz wählt und was mit Sitzungen geschieht, die liefen, als er eintrat. Eine neue Verbindung kann nach dem Umschalten gelingen, während eine ältere Zustand behält, der an eine Adresse gebunden ist, die nicht mehr gilt.

Bevorzugen Sie einen anderen geschützten Pfad, wann immer die Anforderung fortlaufender Schutz ist. Wo eine ungeschützte Ausnahme wirklich nötig ist, begrenzen Sie sie durch Quellen, Ziele, Dienste und eine Dauer und schreiben Sie auf, wie sie zurückgezogen wird.

Testen Sie beide Zustände, nicht nur den Ausfall

Die Abnahme deckt den Fall des ausgefallenen Tunnels und den wiederhergestellten ab, mit einer Anwendungsprüfung bei jedem. Das interessante Ergebnis ist nicht, dass Pakete weiterliefen, sondern dass sie sich nur unter dem Vertrag bewegten, den die Organisation gewählt hat.

Fügen Sie auch die Rücknahmeprüfung hinzu. Eine Ausnahme, die niemand abschalten kann, ist stillschweigend dauerhafte Richtlinie geworden, und genau davor schützte die ursprüngliche Regel. Setzen Sie ein Ablaufdatum und einen benannten Prüfer darauf, sonst überlebt die Ausnahme alle, die sie verstanden haben.