Kombinirani ili odvojeni VPN pristupnik: odaberite prema domeni kvara

Dva uređaja izgledaju otpornije od jednog dok ne primijetite da dijele istu utičnicu, isti hipervizor i istu uzlaznu vezu. Brojanje kutija odgovara na pitanje koje nitko nije postavio; korisno pitanje je što pada u isto vrijeme. Prvo zapišite ugovor o kvaru, a zatim neka on odabere topologiju. Priručnik u nastavku proizvodi taj zapis.

Što se zaustavlja tijekom jednog ponovnog pokretanja

Za kombinirani pristupnik navedite što nestaje tijekom ponovnog pokretanja, neuspješnog ažuriranja ili kvara hardvera. Ako se internetski pristup i privatna povezanost zaustave zajedno, taj zajednički prekid sada je dio vašeg zahtjeva za dostupnost, bez obzira je li ga netko zapisao. Ista vježba vrijedi za jedan uređaj koji završava nekoliko uloga: popis usluga koje ruši prava je specifikacija.

Za odvojene pristupnike navedite što ostaje zajedničko: napajanje, host za virtualizaciju, uzlazna veza, davatelj identiteta, upravljačka mreža. Dva uređaja iza jednog neuspjelog preklopnika jedna su domena kvara s dva imena hosta. Razdvajanje koje zanemaruje te ovisnosti je dijagram, a ne dizajn.

Uračunajte i vlasništvo nad održavanjem. Drugi uređaj donosi konfiguraciju, nadzor, sigurnosne kopije i drugi postupak oporavka, a ništa od toga nije besplatno.

Označite gdje se svako pravilo provodi

Pratite jedan paket od klijenta do privatnog resursa i natrag te označite svako mjesto gdje se primjenjuje politika. Drugi usmjerivač dodaje još jednu točku gdje se preferencija rute, prijevod ili stanje veze mogu razlikovati od prvoga. Većina tajanstvenih kvarova u dizajnu s dva pristupnika živi na tom šavu.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Zapišite gdje završava VPN zaštita i gdje počinje unutarnja politika. Ako je put između dva uređaja propustljiv, drugi okvir nije stvorio granicu; samo je premjestio mjesto gdje je granica mogla biti. Na jednoj platformi različite zone politike ipak mogu biti djelotvorne, a njihovu djelotvornost treba ocijeniti prema pravilima, a ne odbaciti zato što je hardver dijeljen.

Prestanite ako ne možete reći koji uređaj provodi pravilo koje je važno. Ta praznina je nalaz, a ne detalj koji će se riješiti kasnije.

Izolacija je granica, ne kućište

Odvojeni uređaj zadržava kompromis samo kad je put kroz njega ograničen na ono što drugoj strani treba. Ako oba uređaja prihvaćaju sav promet jedan od drugoga, napadač koji sleti na jedan ima isti doseg kao prije. Tvrdnja o izolaciji pripada skupu pravila, ne inventaru. Pročitajte pravila, recite koji su tokovi dopušteni, pa odlučite je li razdvajanje išta kupilo.

Ista logika vrijedi za korisnike. VPN korisnik kojemu se vjeruje zbog mreže s koje je došao vjeruje lokaciji umjesto identitetu, a NIST smjernice za nulto povjerenje opisuju alternativu: provjeri i ovlasti svaki zahtjev prema resursu. To načelo vrijedi bez obzira koje kućište završava tunel.

Ako razdvajanje postoji da zadovolji liniju usklađenosti, a ne da promijeni tok, recite to u zapisu. Kontrola koju nitko ne može objasniti prva je uklonjena pod pritiskom.

Oporavite ono do čega stvarno možete doći

Pitajte koji put oporavka preživljava kad bilo koja uloga umre. Kad jedini put do pokvarenog VPN pristupnika vodi kroz taj pristupnik, rezervni uređaj drugdje ne pomaže administratoru koji ga mora popraviti. Izvanpojasni put, konzola i dokumentirani povratak koraci su koji dizajn čine obnovljivim.

systemctl status strongswan
nft list ruleset
ip -brief address

Dimenzionirajte dizajn prema cjelokupnom podržanom radnom opterećenju, a ne prema izoliranom broju šifriranja, jer filtriranje i inspekcija troše isti hardver. Koristite dokumentaciju dobavljača i vlastita mjerenja umjesto pretpostavke da je razdvajanje brže ili sporije. Zatim napišite zapis odluke: koji su tokovi dopušteni, koje su ovisnosti zajedničke, što ruši prozor održavanja, koje dokaze o kapacitetu imate i kome pripada svaki korak oporavka. Taj je zapis dovoljno kratak za pregled i dovoljno konkretan da mu se vratite.

Priručnik završava kad je ugovor o kvaru zapisan, put prosljeđivanja ima jednu imenovanu točku provedbe po pravilu, izolacija je opisana tokovima, a ne brojem uređaja, i oporavak radi izvan pokvarene komponente. Odaberite jednostavniji raspored koji zadovoljava te zahtjeve.