VPN-inventaro: celata aliro, generita agordo, vivantaj seancoj
Tunela nomo estas observo, ne serva registro. Kunigu la luanton, la surmetitan agordon kaj la kontadajn pruvojn antaŭ ol vi forigas ion.
Ĉiu tunela nomo aspektas kiel inventara vico ĝis vi demandos, kiu posedas ĝin. Nomo diras al vi, ke io estas konektita nun; ĝi ne povas diri al vi, al kiu apartenas la servo, kion ili rajtas atingi, aŭ ĉu la agordo, kiu kreis la tunelon, estas tiu, kiun vi aprobis. Je flota skalo tiuj tri demandoj estas la inventaro, kaj la tunelo estas nur la plej freŝa observo.
Unu servo, tri registroj
La celata servo estas tio, al kio la luanto rajtas: identecoj, prefiksoj, rimedoj kaj vivcikla stato. La surmetita agordo estas la generita politiko, kiu devus realigi ĝin. La observita seanco estas rultempa pruvo, ke io konektiĝis. Trakti ilin kiel unu tabelon kunpremas tri malsamajn specojn de vero en vicon, kiu estas malĝusta laŭ tri manieroj samtempe.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
La praktika testo estas demando, kiun ĉiu registro povas respondi sola. Demandu, kiu posedas ĉi tiun prefikson, kaj la registro de celata servo respondas. Demandu, kiun politikon la enirejo tenas, kaj la surmetita registro respondas. Demandu, ĉu iu uzis ĝin ĉi-semajne, kaj la seanca registro respondas. La kolumno, kiu ne povas respondi sian propran demandon, estas tiu, kiun oni unue riparu.
Registru la luanton, ne la interfacon
Donu al ĉiu servo identigilon, kiu postvivas rekonekton. Provizora tunela interfaco aŭ seanca numero ŝanĝiĝas pro kialoj, kiuj havas nenion komunan kun la kliento, kaj inventaro ŝlosita sur unu el ili ricevas novan vicon ĉiufoje, kiam ligilo flagras. Ŝlosu ĝin sur la luanto kaj la servo anstataŭe, poste alkroĉu observojn al tiu ŝlosilo.
La registro bezonas la respondecan luanton kaj operatoron, la akceptitan samtulan aŭ uzantan identecon, referencon al la legitimilo anstataŭ kopio de ĝi, la protektitajn prefiksojn, la enkursigan kuntekston, la permesitajn rimedojn kaj la celatan vivciklan staton. Legitimila materialo apartenas al la subtenata sekreta stokejo; inventaro, kiu portas privatajn ŝlosilojn, fariĝis dua, malpli bone protektita kopio de la instalaĵaro.
Generita agordo havas posedanton kaj version
Aŭtomatigo faciligas tion kaj pli bone kaŝas ĝin. Generatoro, kiu sukcese ruliĝas, pruvas, ke la ŝablono estis bildigita, ne ke ĉiu aparato kongruas kun la eligo. Iu fine ŝanĝos enirejon permane dum incidento, kaj tiu ŝanĝo estas la plej valora afero kapti, ĉar ĝi estas la sola, kiun neniu posta rulo reproduktos.
Registru, kiu revizio produktis la surmetitan politikon, kaj konservu rektajn redaktojn kiel diferencon por akordigi anstataŭ silente superskribi ilin. La akordigo estas la produkto ĉi tie: la sukceso de la generatoro kaj la fakta stato de la aparato estas du faktoj, kiujn oni devas kompari, ne supozi egalaj.
Seancoj estas pruvo, ne rajtigo
Kie la surmeto uzas RADIUS-kontadon, RFC 2866 donas konkretajn kampojn por labori. Acct-Status-Type distingas komencon de halto, kaj la registroj apartenantaj al unu seanco dividas Acct-Session-Id. Tiuj kampoj ebligas al vi rekonstrui, kiam seanco komenciĝis kaj finiĝis, sen fidi resumon de panelo.
Kontada identigilo estas rultempa pruvo. Ĝi ne difinas, kiu luanto posedas subreton, kaj ĝi ne donas aliron al io ajn. Korelaciu ĝin kun la enirejo kaj la serva identeco, poste tenu la kolektan tempon apud la observo. Mankanta raporto povas esti telemetria fiasko anstataŭ foresto de uzo, kaj malnova registro ne estas pruvo, ke la aliro restas aktiva nun.
Eksigo uzas la saman kunigon
Forigi servon signifas forigi la celatan aliron, la legitimilojn kaj la vivantajn seancojn, en tiu ordo, tra la posedantoj de ĉiu el ili. Poste kontrolu, ke la eksdata agordo malaperis de la aparatoj kaj ke ĝiaj permesitaj vojoj ne plu solviĝas. Kliento, kiu foriris pasintan kvaronon, ne devus ankoraŭ aperi en prefiksa listo ĉar la tunela nomo estis forigita sed la vojo ne.
Nenio el tio postulas unu aparaton por funkcio aŭ specifan aŭtomatigan produkton. La operacia postulo estas pli mallarĝa kaj pli malfacila: kliento, ĝia celata aliro, la surmetita politiko kaj aktualaj rultempaj pruvoj devas esti kunigeblaj sen dependi de ies memoro pri tunela nomo. Unue konstruu la tri registrojn, poste elektu la ilojn, kiuj konservas ilin.