VPN-leltár: tervezett hozzáférés, generált konfiguráció, élő munkamenetek
Az alagút neve megfigyelés, nem szolgáltatási rekord. Kapcsolja össze a bérlőt, a telepített konfigurációt és az elszámolási bizonyítékokat, mielőtt bármit kivonna a használatból.
Minden alagútnév úgy néz ki, mint egy leltársor, amíg meg nem kérdezi, kié. A név megmondja, hogy valami éppen kapcsolódva van; azt nem tudja megmondani, kié a szolgáltatás, mit érhetnek el, vagy hogy az alagutat létrehozó konfiguráció az-e, amelyet jóváhagyott. Flottaméretben ez a három kérdés a leltár, és az alagút csak a legutóbbi megfigyelés.
Egy szolgáltatás, három rekord
A tervezett szolgáltatás az, amire a bérlő jogosult: identitások, előtagok, erőforrások és életciklus-állapot. A telepített konfiguráció az a generált szabályzat, amelynek ezt meg kell valósítania. A megfigyelt munkamenet futásidejű bizonyíték arra, hogy valami kapcsolódott. Egyetlen táblaként kezelésük három különböző fajta igazságot présel egy sorba, amely egyszerre három módon hibás.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
A gyakorlati próba egy kérdés, amelyre minden rekord egyedül tud válaszolni. Kérdezze meg, kié ez az előtag, és a tervezett szolgáltatás rekordja válaszol. Kérdezze meg, milyen szabályzatot tart az átjáró, és a telepített rekord válaszol. Kérdezze meg, használta-e valaki ezen a héten, és a munkamenet-rekord válaszol. Az az oszlop, amely nem tud válaszolni a saját kérdésére, az, amelyet először kell rendbe tenni.
A bérlőt rögzítse, ne az interfészt
Adjon minden szolgáltatásnak olyan azonosítót, amely túléli az újracsatlakozást. Az ideiglenes alagút-interfész vagy munkamenetszám olyan okokból változik, amelyeknek semmi közük az ügyfélhez, és az egyikre kulcsolt leltár minden alkalommal új sort kap, amikor egy kapcsolat megremeg. Kulcsolja inkább a bérlőre és a szolgáltatásra, majd csatolja a megfigyeléseket ehhez a kulcshoz.
A rekordnak kell a felelős bérlő és üzemeltető, az elfogadott partner- vagy felhasználói identitás, a hitelesítő adatra mutató hivatkozás a másolata helyett, a védett előtagok, az útválasztási környezet, az engedélyezett erőforrások és a tervezett életciklus-állapot. A hitelesítő anyag a támogatott titoktárba tartozik; a privát kulcsokat hordozó leltár a környezet második, kevésbé védett másolatává vált.
A generált konfigurációnak van tulajdonosa és verziója
Az automatizálás ezt könnyebbé teszi és jobban elrejti. A sikeresen futó generátor azt bizonyítja, hogy a sablon renderelődött, nem azt, hogy minden eszköz megfelel a kimenetnek. Valaki végül incidens közben kézzel módosít egy átjárót, és ez a módosítás a legértékesebb rögzítenivaló, mert ez az, amit semmilyen későbbi futás nem fog megismételni.
Rögzítse, melyik revízió hozta létre a telepített szabályzatot, és őrizze meg a közvetlen módosításokat összeegyeztetendő eltérésként ahelyett, hogy csendben felülírná őket. Az összeegyeztetés itt a termék: a generátor sikere és az eszköz tényleges állapota két tény, amelyet össze kell vetni, nem egyenlőnek feltételezni.
A munkamenetek bizonyítékok, nem engedélyek
Ahol a telepítés RADIUS-elszámolást használ, az RFC 2866 konkrét mezőket ad a munkához. A Acct-Status-Type megkülönbözteti a kezdést a leállástól, és az egy munkamenethez tartozó rekordok egy Acct-Session-Id osztoznak. Ezek a mezők lehetővé teszik annak rekonstruálását, mikor kezdődött és végződött egy munkamenet, anélkül hogy egy irányítópult összefoglalójában bízna.
Az elszámolási azonosító futásidejű bizonyíték. Nem határozza meg, melyik bérlő birtokol egy alhálózatot, és nem ad hozzáférést semmihez. Korrelálja az átjáróval és a szolgáltatás identitásával, majd tartsa a gyűjtési időt a megfigyelés mellett. Egy hiányzó jelentés lehet telemetriahiba is, nem a használat hiánya, és egy régi rekord nem bizonyítja, hogy a hozzáférés most is aktív.
A kivonás ugyanazt az összekapcsolást használja
Egy szolgáltatás eltávolítása a tervezett hozzáférés, a hitelesítő adatok és az élő munkamenetek eltávolítását jelenti, ebben a sorrendben, mindegyik tulajdonosán keresztül. Ezután ellenőrizze, hogy az elavult konfiguráció eltűnt az eszközökről, és hogy az engedélyezett útvonalai már nem oldódnak fel. Az az ügyfél, aki az előző negyedévben távozott, nem szerepelhet továbbra is egy előtaglistán azért, mert az alagút nevét törölték, de az útvonalat nem.
Ezek egyike sem igényel egy eszközt funkciónként vagy meghatározott automatizálási terméket. Az üzemeltetési követelmény szűkebb és nehezebb: az ügyfélnek, a tervezett hozzáférésének, a telepített szabályzatnak és a jelenlegi futásidejű bizonyítékoknak összekapcsolhatónak kell lenniük anélkül, hogy valaki alagútnévre vonatkozó emlékére támaszkodnánk. Először építse fel a három rekordot, majd válassza ki azokat az eszközöket, amelyek karbantartják őket.