Cuando IPsec cae, una ruta de repuesto no es una política de respaldo

Un sitio pierde su túnel, y la tabla de rutas sigue mostrando una ruta perfectamente utilizable hacia el destino por internet. Alguien propone conmutar por error a ella y llama al cambio una corrección de enrutamiento. El paquete podría recorrer ese camino; la pregunta que nadie hizo es si se le permite llegar sin protección. Son respuestas distintas de tablas distintas, y confundirlas es la forma en que una interrupción se convierte en incidente.

Dos resultados que parecen idénticos en una tabla de rutas

La alcanzabilidad dice que un paquete tiene adónde ir. Una política de seguridad dice qué debe ocurrirle a ese paquete por el camino, y ambas se aplican con maquinaria distinta. Una ruta puede existir para un flujo que la política está obligada a descartar, y esa combinación no es una configuración errónea. Separar las dos preguntas es lo que hace que un plan de interrupción sea revisable.

Así que un camino de interrupción solo es un diseño después de que alguien decida cuál de los resultados permitidos se aplica. Mientras esa decisión no exista, la ruta de repuesto es una tentación y no un plan.

El modelo de política tiene tres veredictos, no dos

La arquitectura IPsec separa el tráfico que debe descartarse, el tráfico al que se permite saltarse la protección y el tráfico que debe protegerse. Son tres instrucciones distintas, y la del medio es una exención deliberada, no un modo de fallo. Leerlas como una pareja es lo que produce la falsa elección entre un túnel y una carretera abierta.

Una asociación ausente no promueve en silencio una regla de proteger a una de evitar. La política sigue diciendo protege, así que el paquete espera o muere, y ese comportamiento es el control funcionando tal como está escrito, no prueba de que la política esté rota.

Escriba el requisito de su flujo como una de tres frases: deténgase hasta que exista un camino protegido, cambie a otro camino protegido, o use un camino autorizado por separado para funcionar sin IPsec. Solo la tercera cambia el contrato de seguridad, y necesita un propietario que pueda firmarlo. Esa frase va en el registro de cambios, no en la memoria de alguien. Los revisores aprueban la segunda frase y rechazan la tercera, y ambas decisiones son razonables cuando son visibles.

Una exención es un contrato que firman ambos extremos

Un camino alternativo necesita direcciones enrutables, admisión explícita donde llega y un camino de respuesta que funcione en ambos sentidos. Las direcciones privadas del sitio no se vuelven alcanzables porque una ruta por defecto apunte a algún sitio.

La autenticación importa tanto como el direccionamiento. El tráfico que se salta el túnel y llega a un límite que espera protección se rechaza incluso cuando aterriza en la interfaz correcta, así que la política de recepción tiene que aceptar esa forma a propósito. Una exención con la que el extremo remoto nunca estuvo de acuerdo es una interrupción con pasos extra.

Quitar un selector o aflojar un mapa para que funcione el respaldo no es una exención controlada. Amplía lo que está exento, deja al extremo remoto aplicando algo distinto y puede cambiar qué regla de traducción coincide con el flujo.

La traducción y la admisión cambian la aritmética

La traducción puede presentar otra vista de direcciones, pero los mapeos directo e inverso tienen que concordar con el camino alternativo. Un mapeo unidireccional produce una conexión que se abre y luego se cuelga. Medio mapeo es peor que ninguno, porque parece progreso.

La admisión es la segunda mitad. El lado receptor debe tener una regla explícita para este tráfico, su propio registro y una forma de distinguir a las tres de la madrugada una exención aprobada de un error.

La restauración forma parte del diseño

Registre cómo se detecta el fallo, qué política elige el reemplazo y qué ocurre con las sesiones que estaban en curso cuando sucedió. Una conexión nueva puede tener éxito tras la conmutación mientras una más antigua conserva estado atado a una dirección que ya no se aplica.

Prefiera otro camino protegido siempre que el requisito sea protección continua. Donde una excepción sin protección sea realmente necesaria, acótela con orígenes, destinos, servicios y una duración, y anote cómo se retira.

Pruebe ambos estados, no solo la interrupción

La aceptación cubre el caso del túnel fallido y el restaurado, con una comprobación de aplicación en cada uno. El resultado interesante no es que los paquetes siguieran moviéndose, sino que se movieron solo bajo el contrato que la organización eligió.

Añada también la prueba de retirada. Una excepción que nadie puede desactivar se ha convertido en silencio en política permanente, que es exactamente contra lo que protegía la regla original. Póngale una fecha de caducidad y un revisor nombrado, o la exención sobrevivirá a todos los que la entendieron.