संयुक्त या अलग VPN गेटवे: विफलता डोमेन से चुनें

दो उपकरण एक से अधिक टिकाऊ दिखते हैं, जब तक आप न देखें कि वे एक ही पावर स्ट्रिप, एक ही हाइपरवाइज़र और एक ही अपस्ट्रीम लिंक साझा करते हैं। बक्से गिनना उस प्रश्न का उत्तर देता है जो किसी ने नहीं पूछा; उपयोगी प्रश्न यह है कि एक ही समय में क्या विफल होता है। पहले विफलता अनुबंध लिखें, फिर उसे टोपोलॉजी चुनने दें। नीचे दिया गया रनबुक वह रिकॉर्ड बनाता है।

एक रीबूट के दौरान क्या रुकता है

संयुक्त गेटवे के लिए सूची बनाएँ कि रीबूट, असफल अपडेट या हार्डवेयर खराबी के दौरान क्या गायब होता है। यदि इंटरनेट पहुँच और निजी कनेक्टिविटी दोनों रुक जाती हैं, तो वह साझा रुकावट अब आपकी उपलब्धता आवश्यकता का हिस्सा है, चाहे किसी ने उसे लिखा हो या नहीं। वही अभ्यास एक ऐसे उपकरण पर लागू होता है जो कई भूमिकाएँ समाप्त करता है: जिन सेवाओं को वह गिराता है उनकी सूची ही असली विनिर्देश है।

अलग गेटवे के लिए सूची बनाएँ कि क्या साझा रहता है: बिजली, वर्चुअलाइज़ेशन होस्ट, अपस्ट्रीम लिंक, पहचान प्रदाता, प्रबंधन नेटवर्क। एक विफल स्विच के पीछे दो उपकरण दो होस्टनाम वाला एक ही विफलता डोमेन हैं। जो अलगाव उन निर्भरताओं को अनदेखा करता है वह आरेख है, डिज़ाइन नहीं।

रखरखाव का स्वामित्व भी गिनें। दूसरा उपकरण कॉन्फ़िगरेशन, निगरानी, बैकअप और दूसरी पुनर्प्राप्ति प्रक्रिया लाता है, और इनमें से कुछ भी मुफ़्त नहीं है।

चिह्नित करें कि प्रत्येक नियम कहाँ लागू होता है

क्लाइंट से एक निजी संसाधन तक और वापस एक पैकेट का पीछा करें, और हर उस स्थान को चिह्नित करें जहाँ नीति लागू होती है। दूसरा राउटर एक और बिंदु जोड़ता है जहाँ मार्ग वरीयता, अनुवाद या कनेक्शन स्थिति पहले से असहमत हो सकती है। दो-गेटवे डिज़ाइन में अधिकांश रहस्यमय विफलताएँ उसी सीवन पर रहती हैं।

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

लिखें कि VPN सुरक्षा कहाँ समाप्त होती है और आंतरिक नीति कहाँ शुरू होती है। यदि दो उपकरणों के बीच का मार्ग अनुमतिपूर्ण है, तो दूसरे बक्से ने सीमा नहीं बनाई; उसने केवल वह जगह खिसकाई है जहाँ सीमा हो सकती थी। एक ही प्लेटफ़ॉर्म पर, अलग नीति क्षेत्र अभी भी प्रभावी हो सकते हैं, और उनकी प्रभावशीलता नियमों से आँकी जानी चाहिए, न कि हार्डवेयर साझा होने के कारण खारिज की जानी चाहिए।

यदि आप यह नहीं कह सकते कि कौन सा उपकरण महत्वपूर्ण नियम लागू करता है, तो रुकें। वही अंतराल निष्कर्ष है, बाद में तय करने वाला विवरण नहीं।

नियंत्रण एक सीमा है, चेसिस नहीं

अलग उपकरण समझौता तभी रोकता है जब उससे गुजरने वाला मार्ग दूसरी ओर की आवश्यकता तक सीमित हो। यदि दोनों उपकरण एक-दूसरे से कोई भी ट्रैफ़िक स्वीकार करते हैं, तो एक पर उतरने वाले हमलावर की पहुँच पहले जैसी ही रहती है। नियंत्रण का दावा नियम-समुच्चय का है, सूची का नहीं। नियम पढ़ें, बताएँ कि कौन से प्रवाह अनुमत हैं, फिर तय करें कि अलगाव ने कुछ खरीदा या नहीं।

वही तर्क उपयोगकर्ताओं पर लागू होता है। जिस VPN उपयोगकर्ता पर उस नेटवर्क के कारण भरोसा किया जाता है जहाँ से वह आया, वह पहचान के बजाय स्थान पर भरोसा कर रहा है, और NIST का शून्य-भरोसा मार्गदर्शन विकल्प बताता है: हर अनुरोध को संसाधन के विरुद्ध प्रमाणित और अधिकृत करें। यह सिद्धांत किसी भी चेसिस के टनल समाप्त करने पर लागू रहता है।

यदि अलगाव प्रवाह बदलने के बजाय अनुपालन रेखा पूरी करने के लिए है, तो रिकॉर्ड में कहें। जिस नियंत्रण को कोई समझा नहीं सकता वह दबाव में सबसे पहले हटाया जाता है।

जो वास्तव में पहुँच सकते हैं उसे पुनर्प्राप्त करें

पूछें कि दोनों भूमिकाओं में से कोई मरने पर कौन सा पुनर्प्राप्ति मार्ग बचता है। जब टूटे VPN गेटवे तक पहुँचने का एकमात्र रास्ता उसी गेटवे से होकर जाता है, तो कहीं और का अतिरिक्त उपकरण उस प्रशासक की मदद नहीं करता जिसे उसे ठीक करना है। बाहरी-बैंड मार्ग, कंसोल और प्रलेखित वापसी वे हिस्से हैं जो डिज़ाइन को पुनर्प्राप्य बनाते हैं।

systemctl status strongswan
nft list ruleset
ip -brief address

डिज़ाइन को पूर्ण समर्थित कार्यभार के लिए मापें, अलग एन्क्रिप्शन संख्या के लिए नहीं, क्योंकि फ़िल्टरिंग और निरीक्षण वही हार्डवेयर खाते हैं। विक्रेता दस्तावेज़ और अपने मापन का उपयोग करें, यह मानने के बजाय कि अलगाव तेज़ या धीमा है। फिर निर्णय रिकॉर्ड लिखें: कौन से प्रवाह अनुमत हैं, कौन सी निर्भरताएँ साझा हैं, रखरखाव विंडो क्या गिराती है, आपके पास कौन से क्षमता प्रमाण हैं और प्रत्येक पुनर्प्राप्ति चरण का स्वामी कौन है। वह रिकॉर्ड समीक्षा के लिए पर्याप्त छोटा और फिर से देखने के लिए पर्याप्त विशिष्ट है।

रनबुक तब समाप्त होता है जब विफलता अनुबंध लिखा जाता है, अग्रेषण पथ में प्रत्येक नियम के लिए एक नामित प्रवर्तन बिंदु होता है, नियंत्रण उपकरण संख्या के बजाय प्रवाहों से वर्णित होता है, और पुनर्प्राप्ति विफल घटक के बाहर से काम करती है। वह सरल व्यवस्था चुनें जो उन आवश्यकताओं को पूरा करती है।