VPN-Inventar: beabsichtigter Zugriff, erzeugte Konfiguration, laufende Sitzungen

Jeder Tunnelname sieht wie eine Inventarzeile aus, bis Sie fragen, wem er gehört. Ein Name sagt Ihnen, dass gerade etwas verbunden ist; er sagt Ihnen nicht, wem der Dienst gehört, worauf zugegriffen werden darf oder ob die Konfiguration, die den Tunnel erzeugt hat, die von Ihnen freigegebene ist. Im Flottenmaßstab sind diese drei Fragen das Inventar, und der Tunnel ist nur die jüngste Beobachtung.

Ein Dienst, drei Nachweise

Der beabsichtigte Dienst ist das, worauf der Mandant Anspruch hat: Identitäten, Präfixe, Ressourcen und ein Lebenszyklusstatus. Die ausgerollte Konfiguration ist die erzeugte Richtlinie, die ihn umsetzen soll. Die beobachtete Sitzung ist ein Laufzeitbeleg dafür, dass sich etwas verbunden hat. Wer sie als eine Tabelle behandelt, quetscht drei verschiedene Arten von Wahrheit in eine Zeile, die auf drei Arten gleichzeitig falsch ist.

Der praktische Test ist eine Frage, die jeder Nachweis allein beantworten kann. Fragen Sie, wem dieses Präfix gehört, und der Nachweis des beabsichtigten Dienstes antwortet. Fragen Sie, welche Richtlinie das Gateway hält, und der ausgerollte Nachweis antwortet. Fragen Sie, ob es diese Woche jemand genutzt hat, und der Sitzungsnachweis antwortet. Die Spalte, die ihre eigene Frage nicht beantworten kann, ist die, die zuerst zu reparieren ist.

Erfassen Sie den Mandanten, nicht die Schnittstelle

Geben Sie jedem Dienst eine Kennung, die eine Wiederverbindung übersteht. Eine temporäre Tunnelschnittstelle oder Sitzungsnummer ändert sich aus Gründen, die mit dem Kunden nichts zu tun haben, und ein Inventar, das auf einer davon basiert, bekommt bei jedem Flackern einer Verbindung eine neue Zeile. Setzen Sie es stattdessen auf den Mandanten und den Dienst auf und hängen Sie Beobachtungen an diesen Schlüssel.

Der Nachweis braucht den verantwortlichen Mandanten und Betreiber, die akzeptierte Peer- oder Benutzeridentität, einen Verweis auf den Berechtigungsnachweis statt einer Kopie davon, die geschützten Präfixe, den Routingkontext, die erlaubten Ressourcen und den beabsichtigten Lebenszyklusstatus. Berechtigungsmaterial gehört in den unterstützten Secretspeicher; ein Inventar, das private Schlüssel trägt, ist zu einer zweiten, schlechter geschützten Kopie des Bestands geworden.

Erzeugte Konfiguration hat einen Eigentümer und eine Version

Automatisierung macht das einfacher und verbirgt es besser. Ein Generator, der erfolgreich läuft, beweist, dass die Vorlage gerendert wurde, nicht dass jedes Gerät der Ausgabe entspricht. Irgendwann ändert jemand während eines Vorfalls ein Gateway von Hand, und diese Änderung ist das Wertvollste, was man festhalten kann, weil kein späterer Lauf sie reproduzieren wird.

Halten Sie fest, welche Revision die ausgerollte Richtlinie erzeugt hat, und bewahren Sie direkte Änderungen als eine Differenz auf, die abzugleichen ist statt sie stillschweigend zu überschreiben. Der Abgleich ist hier das Produkt: der Erfolg des Generators und der tatsächliche Zustand des Geräts sind zwei Fakten, die verglichen werden müssen, nicht als gleich angenommen werden dürfen.

Sitzungen sind Beleg, nicht Berechtigung

Wo die Bereitstellung RADIUS-Abrechnung nutzt, gibt RFC 2866 konkrete Felder an die Hand. Acct-Status-Type unterscheidet einen Start von einem Stopp, und die Nachweise einer Sitzung teilen eine Acct-Session-Id. Diese Felder lassen Sie rekonstruieren, wann eine Sitzung begann und endete, ohne der Zusammenfassung eines Dashboards zu vertrauen.

Eine Abrechnungskennung ist ein Laufzeitbeleg. Sie legt nicht fest, welchem Mandanten ein Subnetz gehört, und sie gewährt keinen Zugriff auf irgendetwas. Verknüpfen Sie sie mit dem Gateway und der Dienstidentität und halten Sie dann die Erfassungszeit neben der Beobachtung. Ein fehlender Bericht kann ein Telemetrieausfall statt einer Nichtnutzung sein, und ein alter Nachweis belegt nicht, dass der Zugriff jetzt noch aktiv ist.

Die Außerbetriebnahme nutzt dieselbe Verknüpfung

Einen Dienst zu entfernen heißt, den beabsichtigten Zugriff, die Berechtigungsnachweise und die laufenden Sitzungen in dieser Reihenfolge über die jeweiligen Eigentümer zu entfernen. Prüfen Sie dann, dass die veraltete Konfiguration von den Geräten verschwunden ist und ihre erlaubten Pfade nicht mehr aufgelöst werden. Ein Kunde, der im letzten Quartal gegangen ist, sollte nicht mehr in einer Präfixliste stehen, weil der Tunnelname gelöscht wurde, die Route aber nicht.

Nichts davon verlangt ein Gerät pro Funktion oder ein bestimmtes Automatisierungsprodukt. Die betriebliche Anforderung ist enger und schwieriger: ein Kunde, sein beabsichtigter Zugriff, die ausgerollte Richtlinie und aktuelle Laufzeitbelege müssen verknüpfbar sein, ohne sich auf jemandes Erinnerung an einen Tunnelnamen zu verlassen. Bauen Sie zuerst die drei Nachweise und wählen Sie dann die Werkzeuge, die sie pflegen.