Kombinita aŭ aparta VPN-enirejo: elektu laŭ fiaska domajno

Du aparatoj ŝajnas pli rezistemaj ol unu, ĝis vi rimarkas, ke ili dividas la saman kontaktaron, la saman hipervizoron kaj la saman suprenan ligilon. Nombri skatolojn respondas demandon, kiun neniu faris; la utila demando estas, kio fiaskas samtempe. Unue skribu la fiaskan kontrakton, poste lasu ĝin elekti la topologion. La runlibro sube produktas tiun registron.

Kio haltas dum unu restartigo

Por kombinita enirejo, listigu kio malaperas dum restartigo, malsukcesa ĝisdatigo aŭ aparatdifekto. Se interreta aliro kaj privata konekteco haltas kune, tiu komuna interrompo nun estas parto de via disponeblecpostulo, ĉu iu skribis ĝin aŭ ne. La sama ekzerco validas por unu aparato, kiu finas plurajn rolojn: la listo de servoj, kiujn ĝi mallevas, estas la reala specifikaĵo.

Por apartaj enirejoj, listigu kio restas komuna: energio, la virtualiga gastiganto, la suprena ligilo, la identecprovizanto, la administra reto. Du aparatoj malantaŭ unu fiaskinta ŝaltilo estas unu fiaska domajno kun du gastigantnomoj. Apartigo, kiu ignoras tiujn dependecojn, estas diagramo, ne dezajno.

Kalkulu ankaŭ la prizorgan posedon. Alia aparato alportas agordon, monitoradon, sekurkopiojn kaj duan reakiran proceduron, kaj nenio el tio estas senpaga.

Marku, kie ĉiu regulo estas devigata

Spuru unu paketon de la kliento al privata rimedo kaj reen, kaj marku ĉiun lokon, kie politiko estas aplikata. Dua enkursigilo aldonas plian punkton, kie itinprefero, traduko aŭ konekta stato povas malkonsenti kun la unua. Plej multaj misteraj fiaskoj en dezajno kun du enirejoj loĝas sur tiu kudro.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Skribu, kie VPN-protektado finiĝas kaj kie la interna politiko komenciĝas. Se la vojo inter la du aparatoj estas permesema, la dua skatolo ne kreis limon; ĝi nur movis la lokon, kie limo povus esti. Sur unu platformo, apartaj politikaj zonoj ankoraŭ povas esti efikaj, kaj ilia efikeco estu taksata laŭ la reguloj anstataŭ forĵetata ĉar la aparataro estas dividata.

Haltu se vi ne povas diri, kiu aparato devigas la regulon, kiu gravas. Tiu breĉo estas la trovaĵo, ne detalo solvota poste.

Enfermo estas limo, ne ĉasio

Aparta aparato enfermas kompromiton nur kiam la vojo tra ĝi estas limigita al tio, kion la alia flanko bezonas. Se ambaŭ aparatoj akceptas ajnan trafikon unu de la alia, atakanto, kiu surteriĝas sur unu, havas la saman atingon kiel antaŭe. La aserto pri enfermo apartenas al la regularo, ne al la inventaro. Legu la regulojn, diru, kiuj fluoj estas permesataj, poste decidu, ĉu la apartigo aĉetis ion.

La sama logiko validas por uzantoj. VPN-uzanto, al kiu oni fidas pro la reto, de kiu li venis, fidas lokon anstataŭ identecon, kaj la gvidilo de NIST pri nula fido priskribas la alternativon: aŭtentikigi kaj rajtigi ĉiun peton kontraŭ la rimedo. Tiu principo validas, kiu ajn ĉasio finas la tunelon.

Se la apartigo ekzistas por plenumi konformigan linion anstataŭ por ŝanĝi fluon, diru tion en la registro. Kontrolo, kiun neniu povas klarigi, estas la unua forigata sub premo.

Reakiru tion, kion vi vere povas atingi

Demandu, kiu reakira vojo postvivas, kiam iu ajn el la du roloj mortas. Kiam la sola vojo al difektita VPN-enirejo iras tra tiu enirejo, rezerva aparato aliloke ne helpas la administranton, kiu devas ripari ĝin. Eksterbanda vojo, konzolo kaj dokumentita retroigo estas la partoj, kiuj igas la dezajnon reakirebla.

systemctl status strongswan
nft list ruleset
ip -brief address

Grandigu la dezajnon por la kompleta subtenata laborŝarĝo anstataŭ por izolita ĉifrada nombro, ĉar filtrado kaj inspektado konsumas la saman aparataron. Uzu vendistan dokumentaron kaj viajn proprajn mezurojn anstataŭ supozi, ke apartigo estas pli rapida aŭ pli malrapida. Poste skribu la decidregistron: kiuj fluoj estas permesataj, kiuj dependecoj estas dividataj, kion malkonstruas prizorga fenestro, kiujn kapacitajn pruvojn vi havas, kaj kiu posedas ĉiun reakiran paŝon. Tiu registro estas sufiĉe mallonga por revizio kaj sufiĉe specifa por reveni al ĝi.

La runlibro finiĝas kiam la fiaska kontrakto estas skribita, la plusendvojo havas unu nomitan devigpunkton por regulo, enfermo estas priskribita per fluoj anstataŭ per aparatnombro, kaj reakiro funkcias de ekster la fiaskinta komponanto. Elektu la pli simplan aranĝon, kiu plenumas tiujn postulojn.