Συνδυασμένη ή ξεχωριστή πύλη VPN: επιλέξτε με βάση τον τομέα αστοχίας

Δύο συσκευές φαίνονται πιο ανθεκτικές από μία, μέχρι να προσέξετε ότι μοιράζονται το ίδιο πολύπριζο, τον ίδιο hypervisor και την ίδια ζεύξη ανόδου. Το μέτρημα κουτιών απαντά σε ερώτηση που δεν έθεσε κανείς· η χρήσιμη ερώτηση είναι τι αποτυγχάνει ταυτόχρονα. Γράψτε πρώτα το συμβόλαιο αστοχίας και μετά αφήστε το να διαλέξει την τοπολογία. Το runbook παρακάτω παράγει αυτή την καταγραφή.

Τι σταματά κατά τη διάρκεια μιας επανεκκίνησης

Για συνδυασμένη πύλη, απαριθμήστε τι εξαφανίζεται κατά τη διάρκεια επανεκκίνησης, αποτυχημένης ενημέρωσης ή βλάβης υλικού. Αν η πρόσβαση στο διαδίκτυο και η ιδιωτική συνδεσιμότητα σταματούν μαζί, αυτή η κοινή διακοπή είναι πλέον μέρος της απαίτησης διαθεσιμότητάς σας, είτε κάποιος την έγραψε είτε όχι. Η ίδια άσκηση ισχύει για μία συσκευή που τερματίζει πολλούς ρόλους: η λίστα των υπηρεσιών που ρίχνει είναι η πραγματική προδιαγραφή.

Για ξεχωριστές πύλες, απαριθμήστε τι παραμένει κοινό: ισχύς, ο host virtualization, η ζεύξη ανόδου, ο πάροχος ταυτότητας, το δίκτυο διαχείρισης. Δύο συσκευές πίσω από έναν χαλασμένο μεταγωγέα είναι ένας τομέας αστοχίας με δύο ονόματα host. Ο διαχωρισμός που αγνοεί αυτές τις εξαρτήσεις είναι διάγραμμα, όχι σχεδιασμός.

Μετρήστε και την κυριότητα συντήρησης. Μια άλλη συσκευή φέρνει διαμόρφωση, παρακολούθηση, αντίγραφα ασφαλείας και δεύτερη διαδικασία ανάκτησης, και τίποτα από αυτά δεν είναι δωρεάν.

Σημειώστε πού επιβάλλεται κάθε κανόνας

Ακολουθήστε ένα πακέτο από τον πελάτη σε έναν ιδιωτικό πόρο και πίσω, και σημειώστε κάθε σημείο όπου εφαρμόζεται πολιτική. Ένας δεύτερος δρομολογητής προσθέτει άλλο ένα σημείο όπου η προτίμηση διαδρομής, η μετάφραση ή η κατάσταση σύνδεσης μπορούν να διαφωνήσουν με τον πρώτο. Οι περισσότερες μυστηριώδεις αστοχίες σε σχεδιασμό δύο πυλών ζουν σε αυτή τη ραφή.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Γράψτε πού τελειώνει η προστασία VPN και πού αρχίζει η εσωτερική πολιτική. Αν η διαδρομή μεταξύ των δύο συσκευών είναι επιτρεπτική, το δεύτερο κουτί δεν δημιούργησε όριο· απλώς μετακίνησε το σημείο όπου ένα όριο θα μπορούσε να υπάρχει. Σε μία πλατφόρμα, διακριτές ζώνες πολιτικής μπορούν ακόμη να είναι αποτελεσματικές, και η αποτελεσματικότητά τους πρέπει να αξιολογείται από τους κανόνες και όχι να απορρίπτεται επειδή το υλικό είναι κοινό.

Σταματήστε αν δεν μπορείτε να πείτε ποια συσκευή επιβάλλει τον κανόνα που μετράει. Αυτό το κενό είναι το εύρημα, όχι λεπτομέρεια προς τακτοποίηση αργότερα.

Ο περιορισμός είναι όριο, όχι πλαίσιο

Μια ξεχωριστή συσκευή περιορίζει μια παραβίαση μόνο όταν η διαδρομή μέσα από αυτήν είναι περιορισμένη σε ό,τι χρειάζεται η άλλη πλευρά. Αν και οι δύο συσκευές δέχονται οποιαδήποτε κίνηση η μία από την άλλη, ένας επιτιθέμενος που προσγειώνεται στη μία έχει την ίδια εμβέλεια με πριν. Ο ισχυρισμός περιορισμού ανήκει στο σύνολο κανόνων, όχι στο απόθεμα. Διαβάστε τους κανόνες, πείτε ποιες ροές επιτρέπονται και μετά αποφασίστε αν ο διαχωρισμός αγόρασε κάτι.

Η ίδια λογική ισχύει για χρήστες. Ένας χρήστης VPN που τον εμπιστεύονται λόγω του δικτύου από το οποίο ήρθε εμπιστεύεται την τοποθεσία αντί για την ταυτότητα, και η καθοδήγηση μηδενικής εμπιστοσύνης του NIST περιγράφει την εναλλακτική: επαλήθευση και εξουσιοδότηση κάθε αιτήματος έναντι του πόρου. Αυτή η αρχή ισχύει όποιο πλαίσιο τερματίζει τη σήραγγα.

Αν ο διαχωρισμός υπάρχει για να ικανοποιήσει μια γραμμή συμμόρφωσης και όχι για να αλλάξει μια ροή, πείτε το στην καταγραφή. Ένας έλεγχος που κανείς δεν μπορεί να εξηγήσει είναι ο πρώτος που αφαιρείται υπό πίεση.

Ανακτήστε ό,τι μπορείτε πραγματικά να φτάσετε

Ρωτήστε ποια διαδρομή ανάκτησης επιβιώνει όταν πεθάνει οποιοσδήποτε από τους δύο ρόλους. Όταν ο μόνος τρόπος να φτάσετε σε μια χαλασμένη πύλη VPN περνά μέσα από αυτή την πύλη, μια εφεδρική συσκευή αλλού δεν βοηθά τον διαχειριστή που πρέπει να τη διορθώσει. Μια διαδρομή εκτός ζώνης, μια κονσόλα και μια τεκμηριωμένη επαναφορά είναι τα μέρη που κάνουν τον σχεδιασμό ανακτήσιμο.

systemctl status strongswan
nft list ruleset
ip -brief address

Διαστασιολογήστε τον σχεδιασμό για το πλήρες υποστηριζόμενο φορτίο εργασίας και όχι για ένα απομονωμένο νούμερο κρυπτογράφησης, επειδή το φιλτράρισμα και η επιθεώρηση καταναλώνουν το ίδιο υλικό. Χρησιμοποιήστε την τεκμηρίωση του προμηθευτή και τις δικές σας μετρήσεις αντί να υποθέτετε ότι ο διαχωρισμός είναι ταχύτερος ή βραδύτερος. Μετά γράψτε την καταγραφή απόφασης: ποιες ροές επιτρέπονται, ποιες εξαρτήσεις είναι κοινές, τι ρίχνει ένα παράθυρο συντήρησης, ποια στοιχεία χωρητικότητας έχετε και ποιος κατέχει κάθε βήμα ανάκτησης. Αυτή η καταγραφή είναι αρκετά σύντομη για ανασκόπηση και αρκετά συγκεκριμένη για να επανέλθετε.

Το runbook τελειώνει όταν το συμβόλαιο αστοχίας είναι γραμμένο, η διαδρομή προώθησης έχει ένα ονομασμένο σημείο επιβολής ανά κανόνα, ο περιορισμός περιγράφεται με ροές και όχι με πλήθος συσκευών, και η ανάκτηση λειτουργεί από έξω από το αποτυχημένο στοιχείο. Επιλέξτε την απλούστερη διάταξη που ικανοποιεί αυτές τις απαιτήσεις.