VPN atebide konbinatua edo bereizia: aukeratu hutsegite-domeinuaren arabera

Gailuak zenbatzeak ez dizu ezer irakasten. Idatzi elkarrekin zer huts egiten duen, non aplikatzen den politika eta nola iristen zaren atebidera hura apurtzen denean.

Bi gailuk bat baino erresistenteagoak dirudite, biek energia-erregela bera, hipervisore bera eta gorako esteka bera partekatzen dutela ohartu arte. Kaxak zenbatzeak inork egin ez zuen galdera erantzuten du; galdera erabilgarria aldi berean zer huts egiten duen da. Idatzi lehenik hutsegite-kontratua, eta utzi hari topologia aukeratzen. Beheko runbookak erregistro hori sortzen du.

Zer gelditzen da berrabiarazte bakarrean

Atebide konbinatu baterako, zer desagertzen den zerrendatu berrabiaraztean, eguneraketak huts egitean edo hardware-akats batean. Interneteko sarbidea eta konektibitate pribatua batera gelditzen badira, eten partekatu hori zure erabilgarritasun-eskakizunaren parte da jada, inork idatzi duen ala ez. Ariketak berak balio du hainbat rol amaitzen dituen gailu bakarrerako: botatzen dituen zerbitzuen zerrenda da benetako zehaztapenoa.

Atebide bereizietarako, zer partekatuta jarraitzen duen zerrendatu: energia, birtualizazio-ostalaria, gorako esteka, identitate-hornitzailea, kudeaketa-sarea. Etendako kommutadore baten atzeko bi gailu hutsegite-domeinu bakarra dira bi ostalari-izenekin. Mendekotasun horiek baztertzen dituen bereizketak diagrama da, ez diseinua.

Mantentzearen jabetza ere kontatu. Beste gailu batek konfigurazioa, monitorizazioa, babes-kopiak eta bigarren berreskuratze-prozedura dakartza, eta horietako bat ere ez da doakoa.

Markatu zein tokitan aplikatzen den arau bakoitza

Jarraitu pakete bat bezeroarengandik baliabide pribatu batera eta atzera, eta markatu politika bat aplikatzen den leku bakoitza. Bigarren bideratzaileak beste puntu bat gehitzen du, non ibilbide-lehentasuna, itzulpena edo konexio-egoera lehenengoarekin bat ez etor daitezkeen. Bi atebideko diseinuko hutsegite mistikotsuenak jostura horretan bizi dira.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Idatzi non amaitzen den VPN babesa eta non hasten den barne-politika. Bi gailuen arteko bidea permisiboa bada, bigarren kaxak ez du muga bat sortu; muga bat egon zitekeen lekua mugitu besterik ez du egin. Plataforma bakarrean, politika-eremu bereiziak eraginkorrak izan daitezke oraindik, eta haien eraginkortasuna arauen arabera ebaluatu behar da, ez baztertu hardwarea partekatua delako.

Gelditu garrantzizkoa den araua zein gailuk aplikatzen duen esan ezin baduzu. Hutsune hori da aurkikuntza, ez da geroago konponduko den xehetasuna.

Edukitzea muga da, ez xasisa

Gailu bereizi batek konpromiso bat edukitzen du soilik hortik doan bidea beste aldeak behar duenera mugatuta dagoenean. Bi gailuek elkarrengandik edozein trafiko onartzen badute, batean lurreratzen den eraso-egileak lehengo irismen bera du. Edukitzearen baieztapena arau-multzoari dagokio, ez inbentarioari. Irakurri arauak, esan zein fluxu dauden baimenduta, eta erabaki gero bereizketak zerbait erosi duen.

Logika bera aplikatzen zaie erabiltzaileei. Etorri zen sarearengatik konfiantza duen VPN erabiltzaileak kokapenean sinesten du identitatean beharrean, eta NISTen zero-konfiantza gidak alternatiba deskribatzen du: egiaztatu eta baimendu eskaera bakoitza baliabidearen aurka. Printzipio hori baliozkoa da edozein xasisek tunela amaituta ere.

Bereizketa fluxu bat aldatu beharrean betetze-lerro bat betetzeko badago, esan erregistroan. Inork azaldu ezin duen kontrola da presiopean lehen kentzen dena.

Berreskuratu benetan irits dezakezuna

Galdetu zein berreskuratze-bide bizirik irauten duen bi roleetako edozein hiltzen denean. Atebide hautsi batera iristeko modu bakarra atebide horretatik igarotzen bada, beste leku bateko ordezko gailuak ez dio konpondu behar duen administratzaileari laguntzen. Banda kanpoko bidea, kontsola bat eta dokumentatutako atzera-egitea dira diseinua berreskuragarri egiten duten piezak.

systemctl status strongswan
nft list ruleset
ip -brief address

Dimentsionatu diseinua onartutako karga-lan osoarentzat eta ez enkriptatze-zenbaki isolatu batentzat, iragazketak eta ikuskatzeak hardware bera kontsumitzen dutelako. Erabili hornitzailearen dokumentazioa eta zure neurketak, bereizketa azkarragoa edo motelagoa dela suposatu beharrean. Gero idatzi erabaki-erregistroa: zein fluxu dauden baimenduta, zein mendekotasun diren partekatuak, zer botatzen duen mantentze-leiho batek, zer ahalmen-froga dituzun eta nor den berreskuratze-urrats bakoitzaren jabe. Erregistro hori nahikoa da berrikusteko eta nahikoa zehatza berriro bisitatzeko.

Runbooka amaitzen da hutsegite-kontratua idatzita dagoenean, birbidaltze-bideak arau bakoitzeko aplikazio-puntu izendatu bat duenean, edukitzea fluxuekin deskribatzen denean eta ez gailu-kopuruarekin, eta berreskuratzeak huts egindako osagaitik kanpo funtzionatzen duenean. Aukeratu eskakizun horiek betetzen dituen antolamendu simpleena.

Erlazionatutako artikuluak