સંયુક્ત કે અલગ VPN ગેટવે: નિષ્ફળતા ડોમેઇન પ્રમાણે પસંદ કરો

બે ઉપકરણો એક કરતાં વધુ ટકાઉ લાગે છે, જ્યાં સુધી તમે ન જોશો કે તેઓ એક જ પાવર સ્ટ્રિપ, એક જ હાઇપરવાઇઝર અને એક જ અપસ્ટ્રીમ લિંક વહેંચે છે. બોક્સ ગણવાથી એવા પ્રશ્નનો જવાબ મળે છે જે કોઈએ પૂછ્યો ન હતો; ઉપયોગી પ્રશ્ન એ છે કે એકસાથે શું નિષ્ફળ જાય છે. પહેલા નિષ્ફળતા કરાર લખો, પછી તેને ટોપોલોજી પસંદ કરવા દો. નીચેનું રનબુક એ રેકોર્ડ બનાવે છે.

એક રીબૂટ દરમિયાન શું અટકે છે

સંયુક્ત ગેટવે માટે, રીબૂટ, નિષ્ફળ અપડેટ કે હાર્ડવેર ખામી દરમિયાન શું અદૃશ્ય થાય તેની યાદી બનાવો. જો ઇન્ટરનેટ પ્રવેશ અને ખાનગી કનેક્ટિવિટી બંને અટકે, તો એ સહિયારો વિક્ષેપ હવે તમારી ઉપલબ્ધતા જરૂરિયાતનો ભાગ છે, ભલે કોઈએ લખ્યું હોય કે ન હોય. એ જ કસરત એક જ ઉપકરણ પર લાગુ પડે છે જે ઘણી ભૂમિકાઓ પૂરી કરે છે: તે જે સેવાઓ નીચે ઉતારે છે તેની યાદી જ સાચી સ્પષ્ટતા છે.

અલગ ગેટવે માટે, શું વહેંચાયેલું રહે છે તેની યાદી બનાવો: પાવર, વર્ચ્યુઅલાઇઝેશન હોસ્ટ, અપસ્ટ્રીમ લિંક, ઓળખ પ્રદાતા, મેનેજમેન્ટ નેટવર્ક. એક નિષ્ફળ સ્વિચ પાછળનાં બે ઉપકરણો બે હોસ્ટનામ સાથેનું એક જ નિષ્ફળતા ડોમેઇન છે. જે અલગીકરણ એ નિર્ભરતાઓને અવગણે છે તે આકૃતિ છે, રચના નહીં.

જાળવણીની માલિકી પણ ગણો. બીજું ઉપકરણ રૂપરેખાંકન, મોનિટરિંગ, બેકઅપ અને બીજી પુનઃપ્રાપ્તિ પ્રક્રિયા લાવે છે, અને એમાંથી કંઈ પણ મફત નથી.

દરેક નિયમ ક્યાં લાગુ થાય તે ચિહ્નિત કરો

ક્લાયન્ટથી ખાનગી સંસાધન સુધી અને પાછળ એક પેકેટને અનુસરો, અને નીતિ લાગુ થતા દરેક સ્થળને ચિહ્નિત કરો. બીજો રાઉટર વધુ એક બિંદુ ઉમેરે છે જ્યાં માર્ગ પ્રાધાન્ય, ભાષાંતર કે જોડાણની સ્થિતિ પહેલા સાથે મેળ ખાતી ન હોઈ શકે. બે-ગેટવે રચનાની મોટા ભાગની રહસ્યમય નિષ્ફળતાઓ એ જ સીમ પર રહે છે.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

VPN સુરક્ષા ક્યાં પૂરી થાય અને આંતરિક નીતિ ક્યાં શરૂ થાય તે લખો. જો બે ઉપકરણો વચ્ચેનો માર્ગ પરવાનગીપૂર્ણ હોય, તો બીજા બોક્સે સીમા બનાવી નથી; તેણે ફક્ત એ જગ્યા ખસેડી છે જ્યાં સીમા હોઈ શકી હોત. એક જ પ્લેટફોર્મ પર, અલગ નીતિ ઝોન હજી પણ અસરકારક હોઈ શકે છે, અને તેમની અસરકારકતા હાર્ડવેર વહેંચાયેલું હોવાને કારણે નકારવાને બદલે નિયમો પરથી મૂલવવી જોઈએ.

જો તમે કહી ન શકો કે કયું ઉપકરણ મહત્વના નિયમને લાગુ કરે છે, તો અટકો. એ ગાબડું જ શોધ છે, પછી નક્કી કરવાની વિગત નહીં.

નિયંત્રણ એ સીમા છે, ચેસિસ નહીં

અલગ ઉપકરણ ફક્ત ત્યારે જ સમાધાન રોકે છે જ્યારે તેમાંથી પસાર થતો માર્ગ બીજી બાજુને જે જોઈએ તે પૂરતો મર્યાદિત હોય. જો બંને ઉપકરણો એકબીજા તરફથી કોઈપણ ટ્રાફિક સ્વીકારે, તો એક પર ઉતરેલા હુમલાખોરની પહોંચ પહેલા જેટલી જ રહે છે. નિયંત્રણનો દાવો નિયમસમૂહનો છે, યાદીનો નહીં. નિયમો વાંચો, કયા પ્રવાહોની પરવાનગી છે તે કહો, પછી નક્કી કરો કે અલગીકરણે કંઈ ખરીદ્યું છે કે નહીં.

એ જ તર્ક વપરાશકર્તાઓને લાગુ પડે છે. જે VPN વપરાશકર્તા પર તે જે નેટવર્કથી આવ્યો તેના કારણે ભરોસો કરવામાં આવે છે તે ઓળખને બદલે સ્થાન પર ભરોસો કરે છે, અને NIST ની શૂન્ય-ભરોસા માર્ગદર્શિકા વિકલ્પ વર્ણવે છે: દરેક વિનંતીને સંસાધન સામે પ્રમાણિત અને અધિકૃત કરો. એ સિદ્ધાંત કોઈ પણ ચેસિસ ટનલ પૂરી કરે ત્યારે લાગુ રહે છે.

જો અલગીકરણ પ્રવાહ બદલવા માટે નહીં પણ અનુપાલન રેખા પૂરી કરવા માટે અસ્તિત્વમાં હોય, તો રેકોર્ડમાં કહો. જે નિયંત્રણ કોઈ સમજાવી ન શકે તે દબાણ હેઠળ પહેલું દૂર કરવામાં આવે છે.

જે ખરેખર પહોંચી શકો તે પુનઃપ્રાપ્ત કરો

પૂછો કે બંને ભૂમિકામાંથી કોઈ મરે ત્યારે કયો પુનઃપ્રાપ્તિ માર્ગ ટકે છે. જ્યારે તૂટેલા VPN ગેટવે સુધી પહોંચવાનો એકમાત્ર રસ્તો એ જ ગેટવેમાંથી પસાર થાય છે, ત્યારે બીજે ક્યાંયનું અનામત ઉપકરણ તેને સુધારવાની જરૂર ધરાવતા પ્રશાસકને મદદ કરતું નથી. બહાર-બેન્ડ માર્ગ, કન્સોલ અને દસ્તાવેજી પાછા-ફર એ ભાગો છે જે રચનાને પુનઃપ્રાપ્ય બનાવે છે.

systemctl status strongswan
nft list ruleset
ip -brief address

રચનાને સંપૂર્ણ સમર્થિત વર્કલોડ માટે માપો, અલગ એન્ક્રિપ્શન આંકડા માટે નહીં, કારણ કે ફિલ્ટરિંગ અને નિરીક્ષણ એ જ હાર્ડવેર વાપરે છે. વેન્ડરના દસ્તાવેજ અને તમારા પોતાના માપન વાપરો, અલગીકરણ ઝડપી કે ધીમું છે એમ ધારવાને બદલે. પછી નિર્ણય રેકોર્ડ લખો: કયા પ્રવાહોની પરવાનગી છે, કઈ નિર્ભરતાઓ વહેંચાયેલી છે, જાળવણી વિન્ડો શું નીચે ઉતારે છે, તમારી પાસે કયા ક્ષમતા પુરાવા છે અને દરેક પુનઃપ્રાપ્તિ પગલાની માલિકી કોની છે. એ રેકોર્ડ સમીક્ષા માટે પૂરતો ટૂંકો અને ફરી જોવા માટે પૂરતો ચોક્કસ છે.

રનબુક ત્યારે પૂરું થાય છે જ્યારે નિષ્ફળતા કરાર લખાયેલો હોય, ફોરવર્ડિંગ માર્ગમાં દરેક નિયમ માટે એક નામિત અમલબિંદુ હોય, નિયંત્રણ ઉપકરણ સંખ્યાને બદલે પ્રવાહોથી વર્ણવાયેલું હોય, અને પુનઃપ્રાપ્તિ નિષ્ફળ ઘટકની બહારથી કામ કરે. એ જરૂરિયાતો પૂરી કરતી સરળ ગોઠવણ પસંદ કરો.