Saat IPsec putus, rute cadangan bukan kebijakan cadangan

Sebuah situs kehilangan terowongannya, dan tabel rute masih menunjukkan jalur yang sepenuhnya bisa dipakai ke tujuan lewat internet. Seseorang mengusulkan beralih ke jalur itu dan menyebut perubahan itu perbaikan routing. Paket bisa saja menempuh jalur itu; pertanyaan yang tidak ditanyakan siapa pun adalah apakah paket diizinkan tiba tanpa perlindungan. Itu jawaban berbeda dari tabel berbeda, dan mencampur keduanya adalah cara gangguan menjadi insiden.

Dua hasil yang tampak identik di tabel rute

Keterjangkauan menyatakan paket punya tempat tujuan. Kebijakan keamanan menyatakan apa yang harus terjadi pada paket itu di jalan, dan keduanya ditegakkan oleh mesin yang berbeda. Rute bisa ada untuk aliran yang wajib dibuang oleh kebijakan, dan kombinasi itu bukan salah konfigurasi. Memisahkan kedua pertanyaan itulah yang membuat rencana gangguan bisa ditinjau sama sekali.

Jadi jalur gangguan baru menjadi rancangan setelah seseorang memutuskan hasil mana yang diizinkan berlaku. Sampai keputusan itu ada, rute cadangan adalah godaan, bukan rencana.

Model kebijakan punya tiga putusan, bukan dua

Arsitektur IPsec memisahkan lalu lintas yang harus dibuang, lalu lintas yang boleh melewati perlindungan, dan lalu lintas yang harus dilindungi. Itu tiga instruksi berbeda, dan yang di tengah adalah pengecualian yang disengaja, bukan mode kegagalan. Membacanya sebagai pasangan itulah yang menghasilkan pilihan palsu antara terowongan dan jalan terbuka.

Asosiasi yang hilang tidak diam-diam menaikkan aturan lindung menjadi lewati. Kebijakan tetap mengatakan lindungi, jadi paket menunggu atau mati, dan perilaku itu adalah kendali yang bekerja sebagaimana tertulis, bukan bukti kebijakan rusak.

Tuliskan persyaratan aliran Anda sebagai salah satu dari tiga kalimat: berhenti sampai ada jalur terlindungi, beralih ke jalur terlindungi lain, atau gunakan jalur yang diizinkan secara terpisah untuk berjalan tanpa IPsec. Hanya yang ketiga mengubah kontrak keamanan, dan itu perlu pemilik yang bisa menandatanganinya. Kalimat itu masuk ke catatan perubahan, bukan ke ingatan seseorang. Peninjau menyetujui kalimat kedua dan menolak yang ketiga, dan kedua keputusan itu wajar bila terlihat.

Pengecualian adalah kontrak yang ditandatangani kedua ujung

Jalur alternatif memerlukan alamat yang bisa dirutekan, penerimaan eksplisit di tempat ia tiba, dan jalur balasan yang bekerja di kedua arah. Alamat situs privat tidak menjadi terjangkau karena rute default menunjuk ke suatu tempat.

Autentikasi sama pentingnya dengan pengalamatan. Lalu lintas yang melewati terowongan dan tiba di batas yang mengharapkan perlindungan akan ditolak bahkan ketika mendarat di antarmuka yang benar, jadi kebijakan penerima harus menerima bentuk itu dengan sengaja. Pengecualian yang tidak pernah disepakati ujung jauh adalah gangguan dengan langkah tambahan.

Menghapus selektor atau melonggarkan peta agar cadangan bekerja bukan pengecualian yang terkendali. Itu memperluas apa yang dikecualikan, membiarkan ujung jauh menegakkan sesuatu yang lain, dan bisa mengubah aturan terjemahan mana yang cocok dengan aliran.

Terjemahan dan penerimaan mengubah hitungan

Terjemahan bisa menampilkan tampilan alamat lain, tetapi pemetaan maju dan balik harus sesuai dengan jalur alternatif. Pemetaan satu arah menghasilkan koneksi yang terbuka lalu menggantung. Setengah pemetaan lebih buruk daripada tidak ada, karena tampak seperti kemajuan.

Penerimaan adalah paruh kedua. Sisi penerima harus punya aturan eksplisit untuk lalu lintas ini, pencatatannya sendiri, dan cara membedakan pengecualian yang disetujui dari kesalahan pada pukul tiga pagi.

Pemulihan adalah bagian dari rancangan

Catat bagaimana kegagalan dideteksi, kebijakan mana yang memilih pengganti, dan apa yang terjadi pada sesi yang berjalan saat itu terjadi. Koneksi baru bisa berhasil setelah peralihan sementara yang lebih lama menyimpan status yang terikat pada alamat yang tidak lagi berlaku.

Utamakan jalur terlindungi lain setiap kali persyaratannya perlindungan berkelanjutan. Di mana pengecualian tanpa perlindungan benar-benar diperlukan, batasi dengan sumber, tujuan, layanan, dan durasi, lalu tuliskan bagaimana ia ditarik kembali.

Uji kedua keadaan, bukan hanya gangguannya

Penerimaan mencakup kasus terowongan yang gagal dan yang pulih, dengan pemeriksaan aplikasi pada masing-masing. Hasil yang menarik bukan bahwa paket terus bergerak, melainkan bahwa paket hanya bergerak di bawah kontrak yang dipilih organisasi.

Tambahkan juga uji penarikan. Pengecualian yang tidak bisa dimatikan siapa pun diam-diam menjadi kebijakan permanen, dan itulah tepatnya yang dicegah aturan asli. Beri tanggal kedaluwarsa dan peninjau bernama, atau pengecualian itu akan hidup lebih lama dari semua orang yang memahaminya.