Inventario de VPN: acceso previsto, configuración xerada e sesións activas
O nome dun túnel é unha observación, non un rexistro de servizo. Xunta o arrendatario, a configuración despregada e as probas de contabilidade antes de retirar algo.
Todo nome de túnel parece unha fila de inventario ata que un pregunta a quen pertence. Un nome diche que algo está conectado agora mesmo; non pode dicirche a quen pertence o servizo, que poden acadar nin se a configuración que produciu o túnel é a que vostede aprobou. A escala de flota, esas tres preguntas son o inventario, e o túnel só é a observación máis recente.
Un servizo, tres rexistros
O servizo previsto é aquilo a que o arrendatario ten dereito: identidades, prefixos, recursos e un estado de ciclo de vida. A configuración despregada é a política xerada que debería facelo realidade. A sesión observada é proba de tempo de execución de que algo se conectou. Tratalos como unha soa táboa funde tres tipos distintos de verdade nunha fila que está mal de tres maneiras á vez.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
A proba práctica é unha pregunta que cada rexistro pode responder só. Pregunta quen posúe este prefixo e responde o rexistro do servizo previsto. Pregunta que política mantén a pasarela e responde o rexistro despregado. Pregunta se alguén o usou esta semana e responde o rexistro de sesión. A columna que non pode responder a súa propia pregunta é a que hai que arranxar primeiro.
Rexistra o arrendatario, non a interface
Dálle a cada servizo un identificador que sobreviva a unha reconexión. Unha interface de túnel temporal ou un número de sesión cambian por razóns que non teñen nada que ver co cliente, e un inventario baseado nun deles medra unha fila nova cada vez que unha ligazón tremelica. Baséao no arrendatario e no servizo, e despois ata as observacións a esa clave.
O rexistro necesita o arrendatario e o operador responsables, a identidade de par ou de usuario aceptada, unha referencia á credencial en lugar dunha copia, os prefixos protexidos, o contexto de encamiñamento, os recursos permitidos e o estado de ciclo de vida previsto. O material de credenciais pertence ao almacén de segredos admitido; un inventario que leva chaves privadas converteuse nunha segunda copia do contorno, peor protexida.
A configuración xerada ten dono e versión
A automatización fai isto máis fácil e escóndeo mellor. Un xerador que se executa con éxito demostra que o modelo se renderizou, non que cada dispositivo coincida coa saída. Alguén acabará cambiando unha pasarela a man durante un incidente, e ese cambio é o máis valioso que se pode capturar, porque é o único que ningunha execución posterior reproducirá.
Rexistra que revisión produciu a política despregada, e conserva as edicións directas como unha diferenza que hai que conciliar en lugar de sobrescribilas en silencio. A conciliación é o produto aquí: o éxito do xerador e o estado real do dispositivo son dous feitos que hai que comparar, non dar por iguais.
As sesións son proba, non autorización
Onde o despregamento usa contabilidade RADIUS, o RFC 2866 ofrece campos concretos cos que traballar. Acct-Status-Type distingue un inicio dunha parada, e os rexistros dunha mesma sesión comparten un Acct-Session-Id. Eses campos permítenche reconstruír cando comezou e rematou unha sesión sen confiar no resumo dun panel.
Un identificador de contabilidade é proba de tempo de execución. Non define que arrendatario posúe unha subrede e non concede acceso a nada. Correlaciónao coa pasarela e a identidade do servizo, e despois garda o momento de recollida xunto á observación. Un informe ausente pode ser un fallo de telemetría e non unha ausencia de uso, e un rexistro antigo non é proba de que o acceso siga activo agora.
A retirada usa a mesma unión
Quitar un servizo significa quitar o acceso previsto, as credenciais e as sesións activas, nesa orde, a través dos donos de cada un. Despois verifica que a configuración obsoleta xa non está nos dispositivos e que as súas rutas permitidas xa non se resolven. Un cliente que marchou o trimestre pasado non debería seguir aparecendo nunha lista de prefixos porque se borrou o nome do túnel pero non a ruta.
Nada disto esixe un dispositivo por función nin un produto de automatización concreto. O requisito operativo é máis estreito e máis difícil: un cliente, o seu acceso previsto, a política despregada e a proba actual de tempo de execución deben poder unirse sen depender da memoria de alguén sobre un nome de túnel. Constrúe primeiro os tres rexistros e despois escolle as ferramentas que os manteñen.