Kombinearre of aparte VPN-gateway: kies nei it flaterdomein

Twa apparaten lykje robúster as ien oant jo merke dat se deselde stroomstrip, deselde hypervisor en deselde opstreamferbining diele. Doazen telle beantwurdet in fraach dy't nimmen stelde; de nuttige fraach is wat tagelyk misrint. Skriuw earst it flaterkontrakt op en lit it dan de topology kieze. De runbook hjirûnder makket dat ferslach.

Wat stopet by ien werstart

Foar in kombinearre gateway, list op wat ferdwynt by in werstart, in mislearre bywurking of in hardwareflater. As ynternet tagong en privee ferbining beide stopje, is dy dielde ûnderbrekking no diel fan jo beskikberensferfetting, oft ien it opskreaun hat of net. Deselde oefening jildt foar ien apparaat dat ferskate rollen einiget: de list fan tsjinsten dy't it dellizze, is de echte spesifikaasje.

Foar aparte gateways, list op wat dield bliuwt: stroom, de firtualisaasjehost, de opstreamferbining, de identiteitsleveransier, it behearnetwurk. Twa apparaten efter ien mislearre switch binne ien flaterdomein mei twa hostnammen. Skieding dy't dy ôfhinklikheden negearret is in diagram, gjin ûntwerp.

Tel ek it ûnderhâldseigendom. In oar apparaat bringt konfiguraasje, monitoring, backups en in twadde werstelproseduere, en neat dêrfan is fergees.

Markearje wêr't elke regel hanthavene wurdt

Folgje ien pakket fan de klant nei in privee boarne en werom, en markearje elk plak dêr't belied tapast wurdt. In twadde router foeget noch in punt ta dêr't rûtefoarkar, oersetting of ferbiningstastân it mei de earste oneens wêze kin. De measte mysterieuze flaters yn in ûntwerp mei twa gateways libje op dy naad.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Skriuw op wêr't VPN-beskerming einiget en wêr't it ynterne belied begjint. As it paad tusken de twa apparaten tolerint is, hat de twadde doaze gjin grins makke; it hat allinne it plak ferskood dêr't in grins wêze kinnen hie. Op ien platfoarm kinne aparte beliedszônes noch effektyf wêze, en har effektiviteit moat oan 'e regels metten wurde ynstee fan wegere om't de hardware dield is.

Stop as jo net sizze kinne hokker apparaat de regel hanthavene dy't ta saak docht. Dy kleau is de befinning, gjin detail om letter te besljochtsjen.

Ynsluting is in grins, gjin kast

In apart apparaat befettet in kompromis allinne as it paad der troch beheind is ta wat de oare kant nedich hat. As beide apparaten alle ferkear fan inoar akseptearje, hat in oanfaller dy't op ien lânet deselde berik as earder. De ynslutingsbewearing heart by de regelset, net by de ynventaris. Lês de regels, sis hokker streamen tastien binne, en beslút dan oft de skieding eat kocht hat.

Deselde logika jildt foar brûkers. In VPN-brûker dy't fertroud wurdt fanwegen it netwurk dêr't er wei kaam, fertrout lokaasje ynstee fan identiteit, en NIST's nulfertrouwen-rigel beskriuwt it alternatyf: ferifiearje en autorisearje elk fersyk tsjin 'e boarne. Dat prinsipe jildt hokker kast ek de tunnel einiget.

As de skieding bestiet om in neilibbensline te foldwaan ynstee fan in stream te feroarjen, sis dat yn it ferslach. In kontrôle dy't nimmen ferklearje kin, is de earste dy't ûnder druk fuorthelle wurdt.

Werhelje wat jo echt berikke kinne

Freegje hokker werstelpaad oerlibbet as ien fan beide rollen stjert. As it iennichste paad nei in stikken VPN-gateway troch dy gateway rint, helpt in reserve-apparaat earne oars de behearder net dy't it reparearje moat. In paad bûten de bân, in console en in dokumintearre weromset binne de dielen dy't it ûntwerp werstelber meitsje.

systemctl status strongswan
nft list ruleset
ip -brief address

Grutskal it ûntwerp foar de folsleine stipe wurklast ynstee fan in isolearre fersiferingsgetal, om't filterjen en ynspeksje deselde hardware brûke. Brûk leveransiersdokumintaasje en jo eigen mjittingen ynstee fan oan te nimmen dat skieding flugger of stadiger is. Skriuw dan it beslútferrslach: hokker streamen tastien binne, hokker ôfhinklikheden dield binne, wat in ûnderhâldsfenster dellizze, hokker kapasiteitsbewizen jo hawwe en wa't elk werstelstap besit. Dat ferslach is koart genôch om te besjen en spesifyk genôch om werom te kommen.

De runbook einiget as it flaterkontrakt skreaun is, it trochstjoerpaad ien neamd hanthaveningspunt per regel hat, ynsluting troch streamen beskreaun wurdt ynstee fan troch apparaattal, en werstel fan bûten de mislearre komponint wurket. Kies de ienfâldiger regeling dy't oan dy easken foldocht.