כשה-IPsec נופל, נתיב חלופי אינו מדיניות חלופית

אתר מאבד את המנהרה שלו, וטבלת הניתוב עדיין מציגה מסלול שמיש לחלוטין אל היעד דרך האינטרנט. מישהו מציע לעבור אליו ומכנה את השינוי תיקון ניתוב. החבילה הייתה יכולה ללכת בדרך הזו; השאלה שאיש לא שאל היא אם מותר לה להגיע ללא הגנה. אלו תשובות שונות מטבלאות שונות, וערבובן הוא הדרך שבה תקלה הופכת לאירוע.

שתי תוצאות שנראות זהות בטבלת ניתוב

נגישות אומרת שלחבילה יש לאן ללכת. מדיניות אבטחה אומרת מה חייב לקרות לחבילה הזו בדרך, ושתיהן נאכפות במנגנונים שונים. יכול להתקיים מסלול עבור זרם שהמדיניות מחויבת להשליך, והשילוב הזה אינו תצורה שגויה. הפרדת שתי השאלות היא מה שהופך תוכנית תקלה לברת בדיקה.

לכן מסלול תקלה הוא תכנון רק לאחר שמישהו מחליט איזו מהתוצאות המותרות חלה. כל עוד ההחלטה הזו לא קיימת, הנתיב החלופי הוא פיתוי ולא תוכנית.

למודל המדיניות יש שלושה פסקים, לא שניים

ארכיטקטורת IPsec מפרידה בין תעבורה שחייבת להיזרק, תעבורה שמותר לה לעקוף את ההגנה, ותעבורה שחייבת להיות מוגנת. אלו שלוש הוראות נפרדות, והאמצעית היא פטור מכוון ולא מצב כשל. קריאתן כזוג היא מה שיוצר את הבחירה הכוזבת בין מנהרה לכביש פתוח.

שיוך חסר אינו מקדם בשקט כלל הגנה למעבר עקיפה. המדיניות עדיין אומרת להגן, ולכן החבילה ממתינה או מתה, וההתנהגות הזו היא הבקרה שעובדת כפי שנכתבה, לא הוכחה שהמדיניות שבורה.

כתבו את הדרישה לזרם שלכם כאחת משלוש משפטים: עצרו עד שקיים מסלול מוגן, עברו למסלול מוגן אחר, או השתמשו במסלול שקיבל הרשאה נפרדת לפעול ללא IPsec. רק השלישי משנה את חוזה האבטחה, והוא זקוק לבעלים שיכול לחתום עליו. המשפט הזה נכנס לרישום השינויים, לא לזיכרון של מישהו. הסוקרים מאשרים את המשפט השני ודוחים את השלישי, ושתי ההחלטות סבירות כשהן גלויות.

עקיפה היא חוזה ששני הקצוות חותמים עליו

מסלול חלופי זקוק לכתובות ברות ניתוב, לקבלה מפורשת במקום שאליו הוא מגיע, ולמסלול תשובה שעובד בשני הכיוונים. כתובות אתר פרטיות אינן הופכות לנגישות מפני שנתיב ברירת מחדל מצביע למקום כלשהו.

אימות חשוב לא פחות מכתובות. תעבורה שעוקפת את המנהרה ומגיעה לגבול שמצפה להגנה נדחית גם כשהיא נוחתת בממשק הנכון, ולכן מדיניות הקליטה חייבת לקבל את הצורה הזו בכוונה. פטור שהצד המרוחק מעולם לא הסכים לו הוא תקלה עם שלבים נוספים.

הסרת סלקטור או הרפיית מפה כדי שהחלופה תעבוד אינה פטור מבוקר. היא מרחיבה את מה שפטור, משאירה את הצד המרוחק אוכף משהו אחר, ועלולה לשנות איזה כלל תרגום מתאים לזרם.

תרגום וקבלה משנים את החשבון

תרגום יכול להציג תצוגת כתובות אחרת, אבל המיפוי קדימה ואחורה חייבים להתאים למסלול החלופי. מיפוי חד-כיווני יוצר חיבור שנפתח ואז נתקע. חצי מיפוי גרוע מכלום, כי הוא נראה כמו התקדמות.

הקבלה היא החצי השני. בצד הקולט חייבים להיות כלל מפורש לתעבורה הזו, רישום משלו, ודרך להבחין בשלוש לפנות בוקר בין פטור מאושר לטעות.

השחזור שייך לתכנון

תעדו כיצד מתגלה הכשל, איזו מדיניות בוחרת את התחליף, ומה קורה לסשנים שפעלו כשזה קרה. חיבור חדש יכול להצליח לאחר המעבר בעוד חיבור ישן יותר שומר על מצב הקשור לכתובת שכבר אינה חלה.

העדיפו מסלול מוגן אחר בכל פעם שהדרישה היא הגנה רציפה. במקום שבו חריגה ללא הגנה נחוצה באמת, הגבילו אותה במקורות, ביעדים, בשירותים ובמשך, ורשמו כיצד היא נסוגה.

בדקו את שני המצבים, לא רק את התקלה

הקבלה מכסה את מקרה המנהרה הכושלת ואת זה המשוחזר, עם בדיקת יישום בכל אחד. התוצאה המעניינת אינה שהחבילות המשיכו לזוז, אלא שהן זזו רק תחת החוזה שהארגון בחר.

הוסיפו גם את מבחן הנסיגה. פטור שאיש אינו יכול לכבות הפך בשקט למדיניות קבועה, וזה בדיוק מה שהכלל המקורי הגן מפניו. שימו עליו תאריך תפוגה וסוקר בשם, אחרת הפטור ישרוד יותר מכל מי שהבין אותו.