Yhdistetty vai erillinen VPN-yhdyskäytävä: valitse vikadomeenin mukaan

Kaksi laitetta näyttää kestävämmältä kuin yksi, kunnes huomaat, että ne jakavat saman jatkojohdon, saman hypervisorin ja saman ylävirran linkin. Laatikoiden laskeminen vastaa kysymykseen, jota kukaan ei esittänyt; hyödyllinen kysymys on, mikä pettää samaan aikaan. Kirjoita ensin vikasopimus ja anna sen sitten valita topologia. Alla oleva runbook tuottaa sen merkinnän.

Mikä pysähtyy yhden uudelleenkäynnistyksen aikana

Yhdistetylle yhdyskäytävälle luettele, mikä katoaa uudelleenkäynnistyksen, epäonnistuneen päivityksen tai laitevian aikana. Jos internet-yhteys ja yksityinen yhteys pysähtyvät yhdessä, tuo jaettu keskeytys on nyt osa käytettävyysvaatimustasi, riippumatta siitä, kirjoittiko joku sen. Sama harjoitus pätee yhteen laitteeseen, joka lopettaa useita rooleja: luettelo palveluista, jotka se kaataa, on todellinen määrittely.

Erillisille yhdyskäytäville luettele, mikä pysyy jaettuna: virta, virtualisointi-isäntä, ylävirran linkki, identiteetintarjoaja, hallintaverkko. Kaksi laitetta yhden rikkoutuneen kytkimen takana ovat yksi vikadomeeni, jossa on kaksi isäntänimeä. Erottelu, joka jättää nämä riippuvuudet huomiotta, on kaavio, ei suunnitelma.

Laske myös ylläpidon omistajuus. Toinen laite tuo konfiguraation, valvonnan, varmuuskopiot ja toisen palautusmenettelyn, eikä mikään siitä ole ilmaista.

Merkitse, missä kukin sääntö pannaan täytäntöön

Seuraa yhtä pakettia asiakkaasta yksityiseen resurssiin ja takaisin ja merkitse jokainen kohta, jossa käytäntöä sovelletaan. Toinen reititin lisää vielä yhden pisteen, jossa reittien ensisijaisuus, käännös tai yhteyden tila voi olla eri mieltä ensimmäisen kanssa. Useimmat salaperäiset viat kahden yhdyskäytävän suunnitelmassa elävät sillä saumalla.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Kirjoita, mihin VPN-suoja päättyy ja mistä sisäinen käytäntö alkaa. Jos kahden laitteen välinen polku on salliva, toinen laatikko ei ole luonut rajaa; se on vain siirtänyt kohdan, jossa raja olisi voinut olla. Yhdellä alustalla erilliset käytäntövyöhykkeet voivat silti olla tehokkaita, ja niiden tehokkuus pitäisi arvioida säännöistä eikä hylätä siksi, että laitteisto on jaettua.

Pysähdy, jos et osaa sanoa, mikä laite panee täytäntöön tärkeän säännön. Se aukko on löydös, ei myöhemmin selvitettävä yksityiskohta.

Eristäminen on raja, ei kotelo

Erillinen laite rajoittaa kompromissia vain, kun sen läpi kulkeva polku on rajattu siihen, mitä toinen puoli tarvitsee. Jos molemmat laitteet hyväksyvät kaiken liikenteen toisiltaan, yhdelle laskeutunut hyökkääjä saa saman ulottuvuuden kuin ennen. Eristämisväite kuuluu sääntöjoukkoon, ei inventaarioon. Lue säännöt, sano, mitkä virrat ovat sallittuja, ja päätä sitten, ostiko erottelu jotain.

Sama logiikka pätee käyttäjiin. VPN-käyttäjä, johon luotetaan sen verkon takia, josta hän tuli, luottaa sijaintiin identiteetin sijaan, ja NISTin nollaluottamuksen ohje kuvaa vaihtoehdon: todentaa ja valtuuttaa jokainen pyyntö resurssia vastaan. Tämä periaate pätee riippumatta siitä, mikä kotelo tunnelin lopettaa.

Jos erottelu on olemassa vaatimustenmukaisuuden täyttämiseksi eikä virran muuttamiseksi, sano se merkinnässä. Valvonta, jota kukaan ei osaa selittää, on ensimmäinen, joka poistetaan paineen alla.

Palauta se, mihin todella pääset käsiksi

Kysy, mikä palautuspolku selviää, kun kumpi tahansa rooli kuolee. Kun ainoa tie rikkoutuneelle VPN-yhdyskäytävälle kulkee sen yhdyskäytävän kautta, varalaite muualla ei auta järjestelmänvalvojaa, jonka täytyy korjata se. Kaistan ulkopuolinen polku, konsoli ja dokumentoitu palautus ovat osat, jotka tekevät suunnitelmasta palautettavan.

systemctl status strongswan
nft list ruleset
ip -brief address

Mitoita suunnitelma koko tuetulle työkuormalle etkä eristetylle salausluvulle, koska suodatus ja tarkastus kuluttavat samaa laitteistoa. Käytä toimittajan dokumentaatiota ja omia mittauksiasi sen sijaan, että olettaisit erottelun olevan nopeampi tai hitaampi. Kirjoita sitten päätösmerkintä: mitkä virrat ovat sallittuja, mitkä riippuvuudet ovat jaettuja, mitä huoltokatko kaataa, mitä kapasiteettitodisteita sinulla on ja kuka omistaa kunkin palautusvaiheen. Se merkintä on riittävän lyhyt tarkistettavaksi ja riittävän täsmällinen, jotta siihen voi palata.

Runbook päättyy, kun vikasopimus on kirjoitettu, välityspolulla on yksi nimetty täytäntöönpanopiste sääntöä kohden, eristäminen kuvataan virroilla eikä laitemäärällä, ja palautus toimii viallisen komponentin ulkopuolelta. Valitse yksinkertaisempi järjestely, joka täyttää nämä vaatimukset.