VPN-i register: kavandatud juurdepääs, genereeritud konfiguratsioon, aktiivsed sessioonid
Tunneli nimi on vaatlus, mitte teenuse kirje. Ühendage rentnik, juurutatud konfiguratsioon ja arvestustõendid enne, kui midagi kasutusest eemaldate.
Iga tunneli nimi näeb välja nagu registri rida, kuni te küsite, kellele see kuulub. Nimi ütleb teile, et midagi on praegu ühendatud; see ei ütle teile, kellele teenus kuulub, mida neil on lubatud saavutada ega seda, kas tunnelit loonud konfiguratsioon on see, mille te kinnitasite. Parkla mastaabis on need kolm küsimust register ja tunnel on vaid viimane vaatlus.
Üks teenus, kolm kirjet
Kavandatud teenus on see, millele rentnikul on õigus: identiteedid, eesliited, ressursid ja elutsükli olek. Juurutatud konfiguratsioon on genereeritud poliitika, mis peaks selle realiseerima. Vaadeldud sessioon on käitusaegne tõend, et midagi ühendus. Nende käsitlemine ühe tabelina surub kolme erinevat tüüpi tõe ühte ritta, mis on korraga kolmel viisil vale.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
Praktiline test on küsimus, millele iga kirje suudab üksi vastata. Küsige, kellele see eesliide kuulub, ja kavandatud teenuse kirje vastab. Küsige, millist poliitikat lüüs hoiab, ja juurutatud kirje vastab. Küsige, kas keegi kasutas seda sel nädalal, ja sessiooni kirje vastab. Veerg, mis ei suuda omaenda küsimusele vastata, on see, mida tuleb esimesena parandada.
Kirjendage rentnik, mitte liides
Andke igale teenusele identifikaator, mis elab üle taasühenduse. Ajutine tunneli liides või sessiooninumber muutub põhjustel, millel pole kliendiga mingit seost, ja ühele neist võtmeks pandud register kasvab uue rea iga kord, kui link väreleb. Võtke see hoopis rentniku ja teenuse peale ning kinnitage seejärel vaatlused selle võtme külge.
Kirje vajab vastutavat rentnikku ja operaatorit, vastuvõetud partner- või kasutajaidentiteeti, viidet volitusele, mitte selle koopiat, kaitstud eesliiteid, marsruutimiskonteksti, lubatud ressursse ja kavandatud elutsükli olekut. Volituste materjal kuulub toetatud saladuste hoidlasse; register, mis kannab privaatvõtmeid, on muutunud keskkonna teiseks, halvemini kaitstud koopiaks.
Genereeritud konfiguratsioonil on omanik ja versioon
Automatiseerimine teeb selle lihtsamaks ja peidab selle paremini. Generaator, mis töötab edukalt, tõestab, et mall renderdati, mitte et iga seade vastab väljundile. Keegi muudab lõpuks intsidendi ajal lüüsi käsitsi ja see muudatus on kõige väärtuslikum asi, mida jäädvustada, sest see on ainus, mida ükski hilisem käivitus ei korda.
Kirjendage, milline redaktsioon juurutatud poliitika lõi, ja säilitage otsesed muudatused erinevusena, mida tuleb ühitada selle asemel et need vaikselt üle kirjutada. Ühitamine on siin toode: generaatori edu ja seadme tegelik olek on kaks fakti, mida tuleb võrrelda, mitte eeldada võrdseks.
Sessioonid on tõend, mitte luba
Kui juurutus kasutab RADIUS-arvestust, annab RFC 2866 konkreetsed väljad, millega töötada. Acct-Status-Type eristab algust peatumisest ja ühe sessiooni kirjed jagavad Acct-Session-Id. Need väljad lasevad teil rekonstrueerida, millal sessioon algas ja lõppes, ilma armatuurlaudade kokkuvõtet usaldamata.
Arvestuse identifikaator on käitusaegne tõend. See ei määra, millisele rentnikule alamsuvõrk kuulub, ega anna juurdepääsu millelegi. Korreleerige see lüüsiga ja teenuse identiteediga ning hoidke seejärel kogumisaega vaatluse kõrval. Puuduv aruanne võib olla telemeetria tõrge, mitte kasutuse puudumine, ja vana kirje ei ole tõestus, et juurdepääs on praegu endiselt aktiivne.
Kasutusest kõrvaldamine kasutab sama liitmist
Teenuse eemaldamine tähendab kavandatud juurdepääsu, volituste ja aktiivsete sessioonide eemaldamist selles järjekorras, igaühe omanike kaudu. Seejärel kontrollige, et aegunud konfiguratsioon on seadmetest kadunud ja et selle lubatud teed ei lahene enam. Klient, kes lahkus eelmisel kvartalil, ei peaks endiselt eesliidete loendis olema seetõttu, et tunneli nimi kustutati, aga marsruut mitte.
Miski sellest ei nõua ühte seadet funktsiooni kohta ega konkreetset automatiseerimistoodet. Töönõue on kitsam ja raskem: klient, tema kavandatud juurdepääs, juurutatud poliitika ja praegused käitusaegsed tõendid peavad olema liidetavad ilma kellegi tunneli nime mälu usaldamata. Ehitage kõigepealt kolm kirjet, seejärel valige tööriistad, mis neid hooldavad.