وقتی IPsec قطع می‌شود، مسیر یدکی یک سیاست جایگزین نیست
یک سطر در جدول مسیریابی پاسخ می‌دهد که بسته کجا می‌تواند برود، نه اینکه آیا مجاز است بدون محافظت عبور کند. تصمیم بگیرید کدام‌یک از دو نتیجه مجاز را می‌خرید.
یک سایت تونل خود را از دست می‌دهد، و جدول مسیریابی هنوز مسیری کاملاً قابل استفاده به مقصد را از طریق اینترنت نشان می‌دهد. کسی پیشنهاد می‌کند به آن تغییر مسیر داده شود و این تغییر را اصلاح مسیریابی می‌نامد. بسته می‌توانست از آن راه برود؛ پرسشی که هیچ‌کس نپرسید این است که آیا مجاز است بدون محافظت برسد. این‌ها پاسخ‌های متفاوت از جدول‌های متفاوت‌اند، و قاطی کردنشان همان روشی است که یک قطعی به یک حادثه تبدیل می‌شود.
دو نتیجه‌ای که در جدول مسیریابی یکسان به نظر می‌رسند
دسترسی‌پذیری می‌گوید بسته جایی برای رفتن دارد. سیاست امنیتی می‌گوید در راه با آن بسته چه باید بشود، و هر دو با سازوکارهای متفاوتی اجرا می‌شوند. مسیر می‌تواند برای جریانی وجود داشته باشد که سیاست موظف به دور انداختن آن است، و این ترکیب پیکربندی نادرست نیست. جدا کردن این دو پرسش است که برنامه قطعی را اصلاً قابل بازبینی می‌کند.
پس مسیر قطعی تنها زمانی یک طراحی است که کسی تصمیم بگیرد کدام‌یک از نتایج مجاز اعمال می‌شود. تا وقتی آن تصمیم وجود ندارد، مسیر یدکی یک وسوسه است نه یک برنامه.
مدل سیاست سه حکم دارد، نه دو
معماری IPsec ترافیکی که باید دور انداخته شود، ترافیکی که مجاز است حفاظت را دور بزند، و ترافیکی که باید محافظت شود را از هم جدا می‌کند. این‌ها سه دستور متمایزند، و وسطی یک معافیت عامدانه است نه یک حالت خرابی. خواندنشان به‌صورت یک جفت است که انتخاب کاذب میان یک تونل و یک جاده باز را پدید می‌آورد.
یک انجمن غایب، قاعده محافظت را بی‌صدا به دور زدن ارتقا نمی‌دهد. سیاست هنوز می‌گوید محافظت کن، پس بسته منتظر می‌ماند یا می‌میرد، و این رفتار همان کنترلی است که مطابق نوشته کار می‌کند، نه شاهدی بر خراب بودن سیاست.
نیاز جریان خود را به‌صورت یکی از سه جمله بنویسید: تا وقتی مسیر محافظت‌شده وجود دارد توقف کن، به مسیر محافظت‌شده دیگری برو، یا از مسیری استفاده کن که جداگانه مجاز است بدون IPsec کار کند. تنها سومی قرارداد امنیتی را تغییر می‌دهد، و به مالکی نیاز دارد که بتواند آن را امضا کند. آن جمله در سابقه تغییر می‌رود، نه در حافظه کسی. بازبین‌ها جمله دوم را تأیید و سوم را رد می‌کنند، و هر دو تصمیم وقتی قابل مشاهده باشند معقول‌اند.
دور زدن قراردادی است که هر دو سر امضا می‌کنند
یک مسیر جایگزین به نشانی‌های قابل مسیریابی، پذیرش صریح در محل رسیدن، و مسیر پاسخی که در هر دو جهت کار کند نیاز دارد. نشانی‌های خصوصی سایت تنها به این دلیل که یک مسیر پیش‌فرض به جایی اشاره می‌کند قابل دسترسی نمی‌شوند.
احراز هویت به اندازه آدرس‌دهی اهمیت دارد. ترافیکی که تونل را رد می‌کند و به مرزی می‌رسد که انتظار حفاظت دارد، حتی وقتی روی رابط درست فرود بیاید رد می‌شود، پس سیاست دریافت باید آن شکل را عامدانه بپذیرد. معافیتی که طرف دور هرگز با آن موافقت نکرده است، یک قطعی با گام‌های اضافه است.
حذف یک انتخابگر یا شل کردن یک نقشه برای کار کردن جایگزین، یک معافیت کنترل‌شده نیست. دامنه معافیت را گسترش می‌دهد، طرف دور را وادار به اجرای چیز دیگری می‌گذارد، و می‌تواند تغییر دهد که کدام قاعده ترجمه با جریان مطابقت دارد.
ترجمه و پذیرش حساب را تغییر می‌دهند
ترجمه می‌تواند نمای نشانی دیگری ارائه دهد، اما نگاشت رفت و برگشت باید با مسیر جایگزین هم‌خوانی داشته باشد. نگاشت یک‌طرفه اتصالی می‌سازد که باز می‌شود و بعد معلق می‌ماند. نیم نگاشت از هیچ بدتر است، چون شبیه پیشرفت به نظر می‌رسد.
پذیرش نیمه دوم است. طرف دریافت‌کننده باید قاعده صریحی برای این ترافیک، ثبت خودش، و راهی برای تشخیص یک معافیت تأییدشده از یک اشتباه در ساعت سه بامداد داشته باشد.
بازیابی بخشی از طراحی است
ثبت کنید که خرابی چگونه تشخیص داده می‌شود، کدام سیاست جایگزین را انتخاب می‌کند، و با نشست‌هایی که هنگام وقوع در حال اجرا بودند چه می‌شود. اتصال جدید می‌تواند پس از تغییر موفق شود، در حالی که اتصال قدیمی‌تر حالتی را نگه می‌دارد که به نشانی‌ای بسته شده که دیگر اعمال نمی‌شود.
هرگاه نیاز، حفاظت پیوسته است، مسیر محافظت‌شده دیگری را ترجیح دهید. جایی که یک استثنای بدون حفاظت واقعاً لازم است، آن را با مبدأها، مقصدها، سرویس‌ها و یک مدت محدود کنید و بنویسید که چگونه پس گرفته می‌شود.
هر دو حالت را آزمون کنید، نه فقط قطعی را
پذیرش هم مورد تونل خراب و هم حالت بازیابی‌شده را پوشش می‌دهد، با یک بررسی کاربرد روی هرکدام. نتیجه جالب این نیست که بسته‌ها به حرکت ادامه دادند، بلکه این است که فقط زیر قراردادی حرکت کردند که سازمان انتخاب کرده بود.
آزمون پس گرفتن را هم اضافه کنید. معافیتی که هیچ‌کس نمی‌تواند خاموشش کند بی‌صدا به سیاست دائمی تبدیل شده است، و این دقیقاً همان چیزی است که قاعده اصلی از آن محافظت می‌کرد. روی آن یک تاریخ انقضا و یک بازبین نام‌دار بگذارید، وگرنه معافیت از همه کسانی که آن را فهمیدند بیشتر عمر می‌کند.