जब IPsec गिरता है, तो एक अतिरिक्त मार्ग फ़ॉलबैक नीति नहीं है

एक साइट अपनी सुरंग खो देती है, और रूटिंग तालिका अभी भी इंटरनेट के रास्ते गंतव्य तक पूरी तरह उपयोगी मार्ग दिखाती है। कोई उस पर फ़ेलओवर करने का सुझाव देता है और इस बदलाव को रूटिंग सुधार कहता है। पैकेट उस रास्ते जा सकता था; जो सवाल किसी ने नहीं पूछा वह यह है कि क्या उसे बिना सुरक्षा के पहुँचने की अनुमति है। ये अलग-अलग तालिकाओं से अलग-अलग जवाब हैं, और इन्हें मिला देना ही वह तरीका है जिससे एक बाधा घटना बन जाती है।

रूटिंग तालिका में एक जैसे दिखने वाले दो परिणाम

पहुँच-क्षमता कहती है कि पैकेट के पास जाने की जगह है। सुरक्षा नीति कहती है कि रास्ते में उस पैकेट के साथ क्या होना चाहिए, और दोनों अलग-अलग तंत्रों से लागू होते हैं। ऐसे प्रवाह के लिए भी मार्ग मौजूद हो सकता है जिसे नीति के लिए छोड़ना अनिवार्य है, और यह संयोजन ग़लत कॉन्फ़िगरेशन नहीं है। दोनों सवालों को अलग करना ही बाधा योजना को जाँचने योग्य बनाता है।

इसलिए बाधा का मार्ग तभी एक डिज़ाइन बनता है जब कोई तय करे कि अनुमत परिणामों में से कौन लागू होता है। जब तक वह निर्णय नहीं है, अतिरिक्त मार्ग एक प्रलोभन है, योजना नहीं।

नीति मॉडल के तीन निर्णय हैं, दो नहीं

IPsec वास्तुकला उस ट्रैफ़िक को अलग करती है जिसे छोड़ना ही है, उस ट्रैफ़िक को जिसे सुरक्षा से बचने की अनुमति है, और उस ट्रैफ़िक को जिसे संरक्षित होना ही है। ये तीन अलग निर्देश हैं, और बीच वाला एक जान-बूझकर दी गई छूट है, विफलता का ढंग नहीं। इन्हें जोड़ी के रूप में पढ़ना ही सुरंग और खुली सड़क के बीच झूठा चुनाव पैदा करता है।

अनुपस्थित साहचर्य किसी सुरक्षा नियम को चुपचाप बचाव में नहीं बढ़ाता। नीति अभी भी कहती है सुरक्षित रखो, इसलिए पैकेट प्रतीक्षा करता है या मर जाता है, और यह व्यवहार वह नियंत्रण है जो लिखे अनुसार काम कर रहा है, नीति के टूटने का सबूत नहीं।

अपने प्रवाह की आवश्यकता को तीन में से एक वाक्य के रूप में लिखें: सुरक्षित मार्ग बनने तक रुकें, किसी दूसरे सुरक्षित मार्ग पर जाएँ, या ऐसे मार्ग का उपयोग करें जिसे अलग से IPsec के बिना चलने की अनुमति है। केवल तीसरा ही सुरक्षा अनुबंध बदलता है, और उसे ऐसे स्वामी की ज़रूरत है जो उस पर हस्ताक्षर कर सके। वह वाक्य परिवर्तन-अभिलेख में जाता है, किसी की स्मृति में नहीं। समीक्षक दूसरे वाक्य को मंज़ूरी देते हैं और तीसरे को अस्वीकार करते हैं, और दोनों निर्णय दिखाई देने पर उचित हैं।

बचाव एक अनुबंध है जिस पर दोनों सिरे हस्ताक्षर करते हैं

वैकल्पिक मार्ग के लिए रूट करने योग्य पते, जहाँ वह पहुँचता है वहाँ स्पष्ट प्रवेश, और दोनों दिशाओं में काम करने वाला उत्तर-मार्ग चाहिए। निजी साइट पते इसलिए पहुँचने योग्य नहीं हो जाते कि कोई डिफ़ॉल्ट मार्ग कहीं इशारा करता है।

प्रमाणीकरण पतों जितना ही मायने रखता है। जो ट्रैफ़िक सुरंग को छोड़कर ऐसी सीमा पर पहुँचता है जो सुरक्षा की अपेक्षा करती है, उसे सही इंटरफ़ेस पर उतरने पर भी अस्वीकार कर दिया जाता है, इसलिए प्राप्तकर्ता नीति को वह आकार जान-बूझकर स्वीकार करना होगा। जिस छूट पर दूर का सिरा कभी सहमत नहीं हुआ वह अतिरिक्त क़दमों वाली बाधा है।

फ़ॉलबैक काम करे इसके लिए चयनक हटाना या मानचित्र ढीला करना नियंत्रित छूट नहीं है। यह छूट का दायरा बढ़ाता है, दूर के सिरे को कुछ और लागू करते रहने देता है, और बदल सकता है कि प्रवाह से कौन-सा अनुवाद नियम मेल खाता है।

अनुवाद और प्रवेश गणित बदलते हैं

अनुवाद पतों का दूसरा दृश्य प्रस्तुत कर सकता है, पर आगे और पीछे का मैपिंग वैकल्पिक मार्ग से मेल खाना चाहिए। एकतरफ़ा मैपिंग ऐसा कनेक्शन बनाती है जो खुलता है और फिर अटक जाता है। आधी मैपिंग कुछ न होने से बुरी है, क्योंकि वह प्रगति जैसी दिखती है।

प्रवेश दूसरा आधा है। प्राप्तकर्ता पक्ष के पास इस ट्रैफ़िक के लिए स्पष्ट नियम, अपनी लॉगिंग, और रात तीन बजे स्वीकृत छूट को ग़लती से अलग पहचानने का तरीक़ा होना चाहिए।

पुनर्स्थापन डिज़ाइन का हिस्सा है

दर्ज करें कि विफलता कैसे पकड़ी जाती है, कौन-सी नीति प्रतिस्थापन चुनती है, और जब यह हुआ तब चल रहे सत्रों का क्या होता है। नया कनेक्शन बदलाव के बाद सफल हो सकता है, जबकि पुराना ऐसे पते से बँधी स्थिति बनाए रखता है जो अब लागू नहीं होता।

जब भी आवश्यकता निरंतर सुरक्षा हो, किसी दूसरे सुरक्षित मार्ग को प्राथमिकता दें। जहाँ असुरक्षित अपवाद सचमुच आवश्यक हो, उसे स्रोतों, गंतव्यों, सेवाओं और अवधि से सीमित करें, और लिखें कि वह कैसे वापस लिया जाता है।

केवल बाधा नहीं, दोनों अवस्थाएँ जाँचें

स्वीकृति विफल सुरंग के मामले और बहाल हुई अवस्था दोनों को कवर करती है, हर एक पर अनुप्रयोग जाँच के साथ। दिलचस्प नतीजा यह नहीं कि पैकेट चलते रहे, बल्कि यह कि वे केवल उस अनुबंध के अंतर्गत चले जो संगठन ने चुना था।

वापसी की जाँच भी जोड़ें। जिस छूट को कोई बंद नहीं कर सकता वह चुपचाप स्थायी नीति बन गई है, और मूल नियम ठीक उसी से रक्षा कर रहा था। उस पर समाप्ति तिथि और नामित समीक्षक रखें, वरना छूट उसे समझने वाले सबसे अधिक जीवित रहेगी।