VPN-ynventaris: bedoelde tagong, generearre konfiguraasje, libbene sesjes
In tunnelnamm is in waarnimming, gjin tsjinstregister. Ferbynt de hierder, de útrôle konfiguraasje en it boekhâldbewiis foardat jo eat út tsjinst nimme.
Elke tunnelnamm liket in ynventarisrige oant jo freegje wa't der eigenier is. In namm fertelt jo dat der no eat ferbûn is; hy kin jo net fertelle wa't de tsjinst taskomt, wat se berikke meie, of de konfiguraasje dy't de tunnel makke hat dejinge is dy't jo goedkard hawwe. Op floatsskaal binne dy trije fragen de ynventaris, en de tunnel is mar de lêste waarnimming.
Ien tsjinst, trije registers
De bedoelde tsjinst is wat de hierder rjocht op hat: identiteiten, foarheaksels, boarnen en in libbenssyklusstatus. De útrôle konfiguraasje is it generearre belied dat it realisearje moat. De waarnommen sesje is runtime-bewiis dat der eat ferbûn is. Se as ien tabel behannelje parst trije ferskillende soarten wierheid yn ien rige dy't op trije manieren tagelyk ferkeard is.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
De praktyske test is in fraach dy't elk register allinnich beantwurdzje kin. Freegje wa't dit foarheaksel hat en it register fan 'e bedoelde tsjinst antwurdet. Freegje hokker belied de gateway hat en it útrôle register antwurdet. Freegje oft immen it dizze wike brûkt hat en it sesjeregister antwurdet. De kolom dy't syn eigen fraach net beantwurdzje kin, is dejinge dy't earst reparearre wurde moat.
Registrearje de hierder, net de ynterface
Jou elke tsjinst in identifikaasje dy't in werferbining oerlibbet. In tydlike tunnel-ynterface of sesjenûmer feroaret om redenen dy't neat mei de klant te meitsjen hawwe, en in ynventaris dy't op ien fan dy beiden kaai is, kriget elke kear in nije rige as in ferbining flodderet. Kaai it ynstee op 'e hierder en de tsjinst, en heakje dan waarnimmings oan dy kaai.
It register hat de ferantwurdlike hierder en operator nedich, de akseptearre peer- of brûkersidentiteit, in ferwizing nei de legitimasaasje yn plak fan in kopy dêrfan, de beskerme foarheaksels, de routingkontekst, de tastiene boarnen en de bedoelde libbenssyklusstatus. Legitimaasjemateriaal heart yn 'e stipe geheimenopslach; in ynventaris dy't partikuliere kaaien draacht, is in twadde, minder goed beskerme kopy fan 'e omjouwing wurden.
Generearre konfiguraasje hat in eigner en in ferzje
Automatisearring makket dit makliker en ferberget it better. In generator dy't mei súkses rint, bewiist dat de sjabloan werjûn is, net dat elk apparaat by de útfier past. Immen sil op in stuit by in ynsidint in gateway mei de hân feroarje, en dy feroaring is it weardefolste om fêst te lizzen, want it is dejinge dy't gjin lettere rin werhelje sil.
Registrearje hokker revyzje it útrôle belied makke hat, en bewarje direkte bewurkings as in ferskil dat fermoedsoene wurde moat ynstee fan se stil oer te skriuwen. It fermoedsoenjen is hjir it produkt: it súkses fan 'e generator en de werklike tastân fan it apparaat binne twa feiten dy't ferlike wurde moatte, net as gelyk oannommen.
Sesjes binne bewiis, gjin machtiging
Wêr't de útrôle RADIUS-boekhâld brûkt, jout RFC 2866 konkrete fjilden om mei te wurkjen. Acct-Status-Type skelt in begjin fan in stop, en de registers fan ien sesje diele in Acct-Session-Id. Dy fjilden litte jo rekonstruearje wannear't in sesje begûn en einige, sûnder op 'e gearfetting fan in dashboard te fertrouwen.
In boekhâldidentifikaasje is runtime-bewiis. Hy bepaalt net hokker hierder in subnet hat, en hy jout gjin tagong ta eat. Korrelaasje him mei de gateway en de tsjinstidentiteit, en hâld dan de sammeltyd njonken de waarnimming. In ûntbrekkend rapport kin in telemetryflater wêze yn plak fan in ôfwêzichheid fan gebrûk, en in âld register is gjin bewiis dat tagong no noch aktyf is.
Ut tsjinst nimmen brûkt deselde ferbining
In tsjinst fuorthelje betsjut de bedoelde tagong, de legitimasaasjes en de libbene sesjes fuorthelje, yn dy folchoarder, fia de eigners fan elk. Kontrolearje dan dat de ferâldere konfiguraasje fan 'e apparaten ferdwûn is en dat syn tastiene paden net mear oplost wurde. In klant dy't ferline fearnsjier fuortgien is, soe net noch yn in foarheakselist stean moatte om't de tunnelnamm wiske is, mar de rûte net.
Neat hjirfan freget ien apparaat per funksje of in bepaald automatisearringsprodukt. De operasjonele eask is smeller en hurder: in klant, syn bedoelde tagong, it útrôle belied en aktueel runtime-bewiis moatte ferbûn wurde kinne sûnder op immens ûnthâld fan in tunnelnamm te fertrouwen. Bou earst de trije registers, kies dan it ark dat se ûnderhâldt.