Gateway VPN gabungan atau terpisah: pilih berdasarkan domain kegagalan

Dua perangkat tampak lebih tahan banting daripada satu sampai Anda menyadari keduanya berbagi strip daya yang sama, hypervisor yang sama, dan tautan hulu yang sama. Menghitung kotak menjawab pertanyaan yang tidak diajukan siapa pun; pertanyaan yang berguna adalah apa yang gagal pada saat yang sama. Tuliskan kontrak kegagalan lebih dulu, lalu biarkan kontrak itu memilih topologi. Runbook di bawah menghasilkan catatan tersebut.

Apa yang berhenti selama satu reboot

Untuk gateway gabungan, daftarkan apa yang hilang selama reboot, pembaruan gagal, atau kerusakan perangkat keras. Jika akses internet dan konektivitas privat berhenti bersamaan, gangguan bersama itu kini menjadi bagian dari persyaratan ketersediaan Anda, baik ada yang menuliskannya maupun tidak. Latihan yang sama berlaku untuk satu perangkat yang mengakhiri beberapa peran: daftar layanan yang dijatuhkannya adalah spesifikasi sebenarnya.

Untuk gateway terpisah, daftarkan apa yang tetap dibagi: daya, host virtualisasi, tautan hulu, penyedia identitas, jaringan manajemen. Dua perangkat di belakang satu sakelar yang gagal adalah satu domain kegagalan dengan dua nama host. Pemisahan yang mengabaikan dependensi tersebut adalah diagram, bukan desain.

Hitung juga kepemilikan pemeliharaan. Perangkat lain membawa konfigurasi, pemantauan, cadangan, dan prosedur pemulihan kedua, dan tak satu pun dari itu gratis.

Tandai di mana setiap aturan ditegakkan

Lacak satu paket dari klien ke sumber daya privat dan kembali, lalu tandai setiap tempat kebijakan diterapkan. Router kedua menambah titik lain di mana preferensi rute, terjemahan, atau status koneksi bisa tidak sepakat dengan yang pertama. Sebagian besar kegagalan misterius dalam desain dua gateway hidup di jahitan itu.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Tuliskan di mana perlindungan VPN berakhir dan di mana kebijakan dalam mulai. Jika jalur antara kedua perangkat permisif, kotak kedua tidak menciptakan batas; ia hanya memindahkan tempat di mana batas bisa berada. Pada satu platform, zona kebijakan yang berbeda masih bisa efektif, dan efektivitasnya harus dinilai dari aturan, bukan ditolak karena perangkat kerasnya dibagi.

Berhentilah jika Anda tidak bisa mengatakan perangkat mana yang menegakkan aturan penting itu. Celah itu adalah temuan, bukan detail yang diselesaikan nanti.

Penahanan adalah batas, bukan sasis

Perangkat terpisah menahan kompromi hanya ketika jalur melaluinya dibatasi pada apa yang dibutuhkan sisi lain. Jika kedua perangkat menerima lalu lintas apa pun dari satu sama lain, penyerang yang mendarat di salah satunya memiliki jangkauan yang sama seperti sebelumnya. Klaim penahanan milik kumpulan aturan, bukan inventaris. Baca aturannya, sebutkan aliran mana yang diizinkan, lalu putuskan apakah pemisahan itu membeli sesuatu.

Logika yang sama berlaku untuk pengguna. Pengguna VPN yang dipercaya karena jaringan asal kedatangannya sedang mempercayai lokasi alih-alih identitas, dan panduan zero trust NIST menjelaskan alternatifnya: autentikasi dan otorisasi setiap permintaan terhadap sumber daya. Prinsip itu berlaku apa pun sasis yang mengakhiri terowongan.

Jika pemisahan itu ada untuk memenuhi jalur kepatuhan alih-alih mengubah aliran, katakan hal itu dalam catatan. Kontrol yang tidak bisa dijelaskan siapa pun adalah yang pertama dicabut di bawah tekanan.

Pulihkan apa yang benar-benar bisa Anda jangkau

Tanyakan jalur pemulihan mana yang bertahan ketika salah satu peran mati. Ketika satu-satunya cara mencapai gateway VPN yang rusak melewati gateway itu, perangkat cadangan di tempat lain tidak membantu administrator yang harus memperbaikinya. Jalur di luar pita, konsol, dan pengembalian yang terdokumentasi adalah bagian yang membuat desain dapat dipulihkan.

systemctl status strongswan
nft list ruleset
ip -brief address

Ukur desain untuk beban kerja yang didukung sepenuhnya, bukan untuk angka enkripsi terisolasi, karena penyaringan dan inspeksi memakai perangkat keras yang sama. Gunakan dokumentasi vendor dan pengukuran Anda sendiri alih-alih mengasumsikan pemisahan lebih cepat atau lebih lambat. Lalu tulis catatan keputusan: aliran mana yang diizinkan, dependensi mana yang dibagi, apa yang dijatuhkan jendela pemeliharaan, bukti kapasitas apa yang Anda miliki, dan siapa pemilik setiap langkah pemulihan. Catatan itu cukup singkat untuk ditinjau dan cukup spesifik untuk dikunjungi lagi.

Runbook berakhir ketika kontrak kegagalan telah ditulis, jalur penerusan memiliki satu titik penegakan bernama per aturan, penahanan dijelaskan dengan aliran alih-alih jumlah perangkat, dan pemulihan bekerja dari luar komponen yang gagal. Pilih susunan yang lebih sederhana yang memenuhi persyaratan itu.