Απογραφή VPN: προβλεπόμενη πρόσβαση, παραγόμενη διαμόρφωση, ενεργές συνεδρίες

Κάθε όνομα σήραγγας μοιάζει με γραμμή απογραφής μέχρι να ρωτήσετε ποιος το κατέχει. Ένα όνομα σας λέει ότι κάτι είναι συνδεδεμένο τώρα· δεν μπορεί να σας πει σε ποιον ανήκει η υπηρεσία, τι τους επιτρέπεται να προσεγγίσουν ή αν η διαμόρφωση που παρήγαγε τη σήραγγα είναι αυτή που εγκρίνατε. Σε κλίμακα στόλου, αυτές οι τρεις ερωτήσεις είναι η απογραφή και η σήραγγα είναι μόνο η πιο πρόσφατη παρατήρηση.

Μία υπηρεσία, τρία αρχεία

Η προβλεπόμενη υπηρεσία είναι αυτό που δικαιούται ο ενοικιαστής: ταυτότητες, προθέματα, πόροι και κατάσταση κύκλου ζωής. Η αναπτυγμένη διαμόρφωση είναι η παραγόμενη πολιτική που οφείλει να την πραγματοποιήσει. Η παρατηρούμενη συνεδρία είναι απόδειξη χρόνου εκτέλεσης ότι κάτι συνδέθηκε. Η αντιμετώπισή τους ως ενός πίνακα συμπιέζει τρία διαφορετικά είδη αλήθειας σε μια γραμμή που είναι λάθος με τρεις τρόπους ταυτόχρονα.

Η πρακτική δοκιμή είναι μια ερώτηση που κάθε αρχείο μπορεί να απαντήσει μόνο του. Ρωτήστε ποιος κατέχει αυτό το πρόθεμα και το αρχείο της προβλεπόμενης υπηρεσίας απαντά. Ρωτήστε ποια πολιτική κρατά η πύλη και το αναπτυγμένο αρχείο απαντά. Ρωτήστε αν κάποιος το χρησιμοποίησε αυτή την εβδομάδα και το αρχείο συνεδρίας απαντά. Η στήλη που δεν μπορεί να απαντήσει στη δική της ερώτηση είναι αυτή που πρέπει να διορθωθεί πρώτη.

Καταγράψτε τον ενοικιαστή, όχι τη διεπαφή

Δώστε σε κάθε υπηρεσία ένα αναγνωριστικό που επιβιώνει από μια επανασύνδεση. Μια προσωρινή διεπαφή σήραγγας ή ένας αριθμός συνεδρίας αλλάζουν για λόγους που δεν έχουν καμία σχέση με τον πελάτη, και μια απογραφή βασισμένη σε ένα από αυτά αποκτά νέα γραμμή κάθε φορά που ένας σύνδεσμος τρεμοπαίζει. Βασίστε την στον ενοικιαστή και την υπηρεσία αντ' αυτού και μετά προσαρτήστε παρατηρήσεις σε αυτό το κλειδί.

Το αρχείο χρειάζεται τον υπεύθυνο ενοικιαστή και διαχειριστή, την αποδεκτή ταυτότητα ομοτίμου ή χρήστη, μια αναφορά στο διαπιστευτήριο και όχι αντίγραφό του, τα προστατευμένα προθέματα, το πλαίσιο δρομολόγησης, τους επιτρεπόμενους πόρους και την προβλεπόμενη κατάσταση κύκλου ζωής. Το υλικό διαπιστευτηρίων ανήκει στην υποστηριζόμενη αποθήκη μυστικών· μια απογραφή που φέρει ιδιωτικά κλειδιά έχει γίνει δεύτερο, λιγότερο προστατευμένο αντίγραφο του περιβάλλοντος.

Η παραγόμενη διαμόρφωση έχει ιδιοκτήτη και έκδοση

Ο αυτοματισμός το κάνει ευκολότερο και το κρύβει καλύτερα. Ένας γεννήτορας που εκτελείται επιτυχώς αποδεικνύει ότι το πρότυπο αποδόθηκε, όχι ότι κάθε συσκευή ταιριάζει με την έξοδο. Κάποιος θα αλλάξει τελικά μια πύλη με το χέρι κατά τη διάρκεια ενός περιστατικού, και αυτή η αλλαγή είναι το πιο πολύτιμο πράγμα προς καταγραφή, γιατί είναι η μόνη που καμία μεταγενέστερη εκτέλεση δεν θα αναπαράγει.

Καταγράψτε ποια αναθεώρηση παρήγαγε την αναπτυγμένη πολιτική, και διατηρήστε τις άμεσες αλλαγές ως διαφορά προς συμφιλίωση αντί να τις αντικαθιστάτε σιωπηλά. Η συμφιλίωση είναι το προϊόν εδώ: η επιτυχία του γεννήτορα και η πραγματική κατάσταση της συσκευής είναι δύο γεγονότα που πρέπει να συγκριθούν, όχι να υποτεθούν ίσα.

Οι συνεδρίες είναι απόδειξη, όχι εξουσιοδότηση

Όπου η ανάπτυξη χρησιμοποιεί λογιστική RADIUS, το RFC 2866 δίνει συγκεκριμένα πεδία για εργασία. Το Acct-Status-Type διακρίνει την έναρξη από τη διακοπή, και τα αρχεία μιας συνεδρίας μοιράζονται ένα Acct-Session-Id. Αυτά τα πεδία σας επιτρέπουν να ανασυστήσετε πότε άρχισε και πότε τελείωσε μια συνεδρία χωρίς να εμπιστεύεστε τη σύνοψη ενός πίνακα ελέγχου.

Ένα αναγνωριστικό λογιστικής είναι απόδειξη χρόνου εκτέλεσης. Δεν ορίζει ποιος ενοικιαστής κατέχει ένα υποδίκτυο και δεν παρέχει πρόσβαση σε τίποτα. Συσχετίστε το με την πύλη και την ταυτότητα της υπηρεσίας και μετά κρατήστε τον χρόνο συλλογής δίπλα στην παρατήρηση. Μια απούσα αναφορά μπορεί να είναι αστοχία τηλεμετρίας και όχι απουσία χρήσης, και ένα παλιό αρχείο δεν αποτελεί απόδειξη ότι η πρόσβαση παραμένει ενεργή τώρα.

Η απόσυρση χρησιμοποιεί την ίδια σύνδεση

Η αφαίρεση μιας υπηρεσίας σημαίνει αφαίρεση της προβλεπόμενης πρόσβασης, των διαπιστευτηρίων και των ενεργών συνεδριών, με αυτή τη σειρά, μέσω των ιδιοκτητών καθενός. Στη συνέχεια επαληθεύστε ότι η παρωχημένη διαμόρφωση έχει φύγει από τις συσκευές και ότι οι επιτρεπόμενες διαδρομές της δεν επιλύονται πλέον. Ένας πελάτης που έφυγε το προηγούμενο τρίμηνο δεν θα έπρεπε να εμφανίζεται ακόμη σε λίστα προθεμάτων επειδή διαγράφηκε το όνομα της σήραγγας αλλά όχι η διαδρομή.

Τίποτα από αυτά δεν απαιτεί μία συσκευή ανά λειτουργία ή ένα συγκεκριμένο προϊόν αυτοματισμού. Η επιχειρησιακή απαίτηση είναι στενότερη και δυσκολότερη: ένας πελάτης, η προβλεπόμενη πρόσβασή του, η αναπτυγμένη πολιτική και τα τρέχοντα στοιχεία χρόνου εκτέλεσης πρέπει να είναι συνδέσιμα χωρίς να βασίζονται στη μνήμη κάποιου για ένα όνομα σήραγγας. Χτίστε πρώτα τα τρία αρχεία και μετά επιλέξτε τα εργαλεία που τα συντηρούν.