Kombineeritud või eraldi VPN-lüüs: vali rikke domeeni järgi

Kaks seadet näivad vastupidavamad kui üks, kuni märkad, et need jagavad sama pikendusjuhet, sama hüpervisorit ja sama ülesvoolu linki. Karpide loendamine vastab küsimusele, mida keegi ei küsinud; kasulik küsimus on, mis ebaõnnestub samal ajal. Kirjuta esmalt üles rikkeleping, seejärel lase sellel valida topoloogia. Allolev runbook toodab selle kirje.

Mis peatub ühe taaskäivituse ajal

Kombineeritud lüüsi puhul loetle, mis kaob taaskäivituse, ebaõnnestunud uuenduse või riistvaravea ajal. Kui internetiühendus ja privaatne ühenduvus peatuvad koos, on see jagatud katkestus nüüd osa sinu kättesaadavusnõudest, olenemata sellest, kas keegi selle kirja pani. Sama harjutus kehtib ühe seadme kohta, mis lõpetab mitu rolli: teenuste loend, mille see maha võtab, on tegelik spetsifikatsioon.

Eraldi lüüside puhul loetle, mis jääb jagatuks: toide, virtualiseerimise host, ülesvoolu link, identiteedipakkuja, haldusvõrk. Kaks seadet ühe rikkis kommutaatori taga on üks rikkedomeen kahe hostinimega. Eraldamine, mis neid sõltuvusi eirab, on diagramm, mitte projekt.

Arvesta ka hoolduse omandit. Teine seade toob kaasa konfiguratsiooni, monitooringu, varukoopiad ja teise taastamisprotseduuri ning miski sellest ei ole tasuta.

Märgi, kus iga reeglit rakendatakse

Jälgi ühte paketti kliendist privaatse ressursini ja tagasi ning märgi iga koht, kus poliitikat rakendatakse. Teine ruuter lisab veel ühe punkti, kus marsruudi eelistus, tõlge või ühenduse olek võib esimesega mitte nõustuda. Enamik salapäraseid rikkeid kahe lüüsi projektis elab sellel õmblusel.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Kirjuta üles, kus VPN-kaitse lõpeb ja kus sisemine poliitika algab. Kui kahe seadme vaheline tee on lubav, ei ole teine karp piiri loonud; see on ainult nihutanud koha, kus piir oleks võinud olla. Ühel platvormil võivad eraldiseisvad poliitikatsoonid siiski tõhusad olla ning nende tõhusust tuleb hinnata reeglite järgi, mitte kõrvale jätta, sest riistvara on jagatud.

Peatu, kui ei oska öelda, milline seade rakendab olulist reeglit. See lünk on leid, mitte hiljem lahendatav üksikas.

Isoleerimine on piir, mitte korpus

Eraldi seade piirab kompromissi ainult siis, kui tee läbi selle on piiratud sellega, mida teine pool vajab. Kui mõlemad seadmed võtavad vastu mis tahes liiklust teineteiselt, on ühele maandunud ründajal sama ulatus kui varem. Isoleerimisväide kuulub reeglistikule, mitte inventuurile. Loe reeglid, ütle, millised vood on lubatud, seejärel otsusta, kas eraldamine midagi ostis.

Sama loogika kehtib kasutajate kohta. VPN-kasutaja, keda usaldatakse võrgu tõttu, kust ta tuli, usaldab asukohta identiteedi asemel, ja NISTi nullusalduse juhend kirjeldab alternatiivi: autentida ja volita iga päring ressurssi vastu. See põhimõte kehtib ükskõik milline korpus tunnelit lõpetab.

Kui eraldamine on selleks, et täita vastavusnõuet, mitte voogu muuta, ütle seda kirjes. Kontroll, mida keegi seletada ei oska, on esimene, mis surve all eemaldatakse.

Taasta see, mida tegelikult kätte saad

Küsi, milline taastamistee jääb alles, kui kumbki roll sureb. Kui ainus tee katki läinud VPN-lüüsini kulgeb läbi selle lüüsi, ei aita varuseade mujal administraatorit, kes peab selle parandama. Ribaväline tee, konsool ja dokumenteeritud tagasipööramine on osad, mis teevad projekti taastatavaks.

systemctl status strongswan
nft list ruleset
ip -brief address

Mõõtke projekt kogu toetatud töökoormuse jaoks, mitte üksiku krüpteerimisnumbri jaoks, sest filtreerimine ja kontroll kulutavad sama riistvara. Kasuta tarnija dokumentatsiooni ja oma mõõtmisi, selle asemel et eeldada, et eraldamine on kiirem või aeglasem. Seejärel kirjuta otsusekirje: millised vood on lubatud, millised sõltuvused on jagatud, mida hooldusaken maha võtab, millised tõendid võimsuse kohta sul on ja kellele kuulub iga taastamissamm. See kirje on piisavalt lühike ülevaatamiseks ja piisavalt konkreetne, et selle juurde naasta.

Runbook lõpeb, kui rikkeleping on kirjas, edastustee üks nimetatud rakenduspunkt reegli kohta, isoleerimine on kirjeldatud voogudega, mitte seadmete arvuga, ja taastamine toimib väljastpoolt rikkis komponenti. Vali lihtsam lahendus, mis neid nõudeid täidab.