Միավորված թե առանձին VPN դարպաս. ընտրեք ըստ խափանման տիրույթի

Երկու սարք ավելի դիմացկուն են թվում, քան մեկը, մինչև չնկատեք, որ նրանք կիսում են նույն էլեկտրական երկարացումը, նույն հիպերվիզորը և նույն վերին կապուղին: Տուփերը հաշվելը պատասխանում է մի հարցի, որը ոչ ոք չի տվել. օգտակար հարցն այն է, թե ինչ է խափանում միաժամանակ: Նախ գրեք խափանման պայմանագիրը, ապա թողեք այն ընտրի տոպոլոգիան: Ստորև բերված runbook-ը ստեղծում է այդ գրառումը:

Ինչ է կանգ առնում մեկ վերագործարկման ընթացքում

Միավորված դարպասի համար թվարկեք, թե ինչ է անհետանում վերագործարկման, ձախողված թարմացման կամ սարքավորման խափանման ընթացքում: Եթե ինտերնետ հասանելիությունը և մասնավոր կապը կանգ են առնում միասին, այդ ընդհանուր ընդհատումն այժմ ձեր հասանելիության պահանջի մասն է, անկախ նրանից՝ ինչ-որ մեկը գրել է այն, թե ոչ: Նույն վարժությունը վերաբերում է մեկ սարքի, որը ավարտում է մի քանի դերեր. այն ծառայությունների ցանկը, որոնք այն իջեցնում է, իրական ճշգրտորենն է:

Առանձին դարպասների համար թվարկեք, թե ինչ է մնում ընդհանուր՝ էներգիա, վիրտուալացման հոսթ, վերին կապուղի, ինքնության մատակարար, կառավարման ցանց: Մեկ խափանված անջատիչի հետևում գտնվող երկու սարք մեկ խափանման տիրույթ են երկու հոսթ անունով: Այդ կախվածություններն անտեսող բաժանումը դիագրամ է, ոչ թե ձևավորում:

Հաշվեք նաև սպասարկման սեփականությունը: Մեկ այլ սարք բերում է կոնֆիգուրացիա, մոնիտորինգ, պահուստային պատճեններ և երկրորդ վերականգնման ընթացակարգ, և դրանցից ոչ մեկը անվճար չէ:

Նշեք, թե որտեղ է կիրառվում յուրաքանչյուր կանոն

Հետևեք մեկ փաթեթի հաճախորդից մինչև մասնավոր ռեսուրս և հետ, և նշեք յուրաքանչյուր տեղ, որտեղ կիրառվում է քաղաքականություն: Երկրորդ երթուղիչը ավելացնում է ևս մեկ կետ, որտեղ երթուղու նախապատվությունը, թարգմանությունը կամ կապի վիճակը կարող են չհամընկնել առաջինի հետ: Երկու դարպասի ձևավորման ամենաառեղծվածային խափանումները ապրում են այդ կարում:

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Գրեք, թե որտեղ է ավարտվում VPN պաշտպանությունը և որտեղ է սկսվում ներքին քաղաքականությունը: Եթե երկու սարքերի միջև ուղին թույլատրող է, երկրորդ տուփը սահման չի ստեղծել. այն միայն տեղափոխել է այն վայրը, որտեղ սահման կարող էր լինել: Մեկ հարթակում առանձին քաղաքականության գոտիները դեռ կարող են արդյունավետ լինել, և դրանց արդյունավետությունը պետք է գնահատել կանոններով, ոչ թե մերժել այն պատճառով, որ սարքավորումը ընդհանուր է:

Կանգ առեք, եթե չեք կարող ասել, թե որ սարքն է կիրառում կարևոր կանոնը: Այդ բացը հենց հայտնագործությունն է, ոչ թե ավելի ուշ լուծվող մանրամասնություն:

Մեկուսացումը սահման է, ոչ թե շասսի

Առանձին սարքը զսպում է ներթափանցումը միայն այն դեպքում, երբ դրա միջով անցնող ուղին սահմանափակված է այն բանով, ինչ անհրաժեշտ է մյուս կողմին: Եթե երկու սարքերն էլ ընդունում են ցանկացած երթևեկություն միմյանցից, մեկի վրա վայրէջք կատարած հարձակվողն ունի նույն հասանելիությունը, ինչ նախկինում: Մեկուսացման պնդումը պատկանում է կանոնների հավաքածուին, ոչ թե գույքագրմանը: Կարդացեք կանոնները, ասեք, թե որ հոսքերն են թույլատրված, ապա որոշեք՝ արդյոք բաժանումը ինչ-որ բան գնեց:

Նույն տրամաբանությունը վերաբերում է օգտատերերին: VPN օգտատերը, որին վստահում են այն ցանցի պատճառով, որտեղից նա եկել է, վստահում է տեղադիրքին, ոչ թե ինքնությանը, և NIST-ի զրոյական վստահության ուղեցույցը նկարագրում է այլընտրանքը. նույնականացնել և լիազորել յուրաքանչյուր հարցումը ռեսուրսի նկատմամբ: Այդ սկզբունքը գործում է, անկախ նրանից, թե որ շասսին է ավարտում թունելը:

Եթե բաժանումը գոյություն ունի համապատասխանության գիծը բավարարելու, այլ ոչ թե հոսքը փոխելու համար, ասեք դա գրառման մեջ: Այն վերահսկիչը, որը ոչ ոք չի կարող բացատրել, առաջինն է, որ հանվում է ճնշման տակ:

Վերականգնեք այն, ինչին իրականում կարող եք հասնել

Հարցրեք, թե որ վերականգնման ուղին է գոյատևում, երբ դերերից որևէ մեկը մահանում է: Երբ կոտրված VPN դարպասին հասնելու միակ ճանապարհն անցնում է հենց այդ դարպասով, մեկ այլ տեղի պահեստային սարքը չի օգնում այն վերանորոգող ադմինիստրատորին: Արտահոսքի ուղին, կոնսոլը և փաստաթղթավորված հետգնումն այն մասերն են, որոնք ձևավորումը դարձնում են վերականգնելի:

systemctl status strongswan
nft list ruleset
ip -brief address

Չափավորեք ձևավորումը ամբողջական աջակցվող ծանրաբեռնվածության համար, ոչ թե մեկուսացված գաղտնագրման թվի, քանի որ զտումն ու ստուգումը սպառում են նույն սարքավորումը: Օգտագործեք մատակարարի փաստաթղթերը և ձեր սեփական չափումները՝ փոխարենը ենթադրելու, որ բաժանումն ավելի արագ կամ դանդաղ է: Ապա գրեք որոշման գրառումը. որ հոսքերն են թույլատրված, որ կախվածություններն են ընդհանուր, ինչ է իջեցնում սպասարկման պատուհանը, ինչ հզորության ապացույցներ ունեք և ով է տիրապետում յուրաքանչյուր վերականգնման քայլին: Այդ գրառումը բավական կարճ է վերանայելու և բավական կոնկրետ՝ վերադառնալու համար:

Runbook-ն ավարտվում է, երբ խափանման պայմանագիրը գրված է, փոխանցման ուղին ունի մեկ անվանված կիրառման կետ յուրաքանչյուր կանոնի համար, մեկուսացումը նկարագրվում է հոսքերով, ոչ թե սարքերի քանակով, և վերականգնումը աշխատում է խափանված բաղադրիչից դուրս: Ընտրեք ավելի պարզ դասավորությունը, որը բավարարում է այդ պահանջները: