Quando IPsec cade, una rotta di riserva non è una politica di riserva

Un sito perde il suo tunnel, e la tabella di routing mostra ancora un percorso perfettamente utilizzabile verso la destinazione attraverso Internet. Qualcuno propone di passare a quello e chiama il cambiamento una correzione di routing. Il pacchetto potrebbe percorrere quella strada; la domanda che nessuno ha posto è se gli è consentito arrivare senza protezione. Sono risposte diverse da tabelle diverse, e confonderle è il modo in cui un guasto diventa un incidente.

Due esiti che sembrano identici in una tabella di routing

La raggiungibilità dice che un pacchetto ha dove andare. Una politica di sicurezza dice cosa deve accadere a quel pacchetto lungo il percorso, e le due cose sono applicate da meccanismi diversi. Una rotta può esistere per un flusso che la politica è tenuta a scartare, e quella combinazione non è una configurazione errata. È la separazione delle due domande che rende un piano di guasto verificabile.

Quindi un percorso di guasto è un progetto solo dopo che qualcuno ha deciso quale degli esiti consentiti si applica. Finché quella decisione non esiste, la rotta di riserva è una tentazione e non un piano.

Il modello di politica ha tre verdetti, non due

L’architettura IPsec separa il traffico che deve essere scartato, il traffico a cui è consentito aggirare la protezione e il traffico che deve essere protetto. Sono tre istruzioni distinte, e quella centrale è un’esenzione deliberata, non una modalità di guasto. Leggerle come una coppia è ciò che produce la falsa scelta tra un tunnel e una strada aperta.

Un’associazione mancante non promuove silenziosamente una regola di protezione a un aggiramento. La politica dice ancora proteggi, quindi il pacchetto attende o muore, e quel comportamento è il controllo che funziona come scritto, non la prova che la politica sia rotta.

Scrivete il requisito del vostro flusso come una di tre frasi: fermatevi finché esiste un percorso protetto, passate a un altro percorso protetto, oppure usate un percorso autorizzato separatamente a funzionare senza IPsec. Solo la terza cambia il contratto di sicurezza, e ha bisogno di un proprietario che possa firmarlo. Quella frase va nel registro delle modifiche, non nella memoria di qualcuno. I revisori approvano la seconda frase e rifiutano la terza, ed entrambe le decisioni sono ragionevoli quando sono visibili.

Un aggiramento è un contratto che entrambe le estremità firmano

Un percorso alternativo ha bisogno di indirizzi instradabili, di un’ammissione esplicita dove arriva e di un percorso di ritorno che funzioni in entrambe le direzioni. Gli indirizzi privati del sito non diventano raggiungibili perché una rotta predefinita punta da qualche parte.

L’autenticazione conta quanto l’indirizzamento. Il traffico che salta il tunnel e arriva a un confine che si aspetta una protezione viene rifiutato anche quando atterra sull’interfaccia giusta, quindi la politica di ricezione deve accettare quella forma di proposito. Un’esenzione che l’estremità remota non ha mai accettato è un guasto con passaggi in più.

Rimuovere un selettore o allentare una mappa per far funzionare la riserva non è un’esenzione controllata. Amplia ciò che è esente, lascia l’estremità remota ad applicare qualcosa di diverso e può cambiare quale regola di traduzione corrisponde al flusso.

La traduzione e l’ammissione cambiano l’aritmetica

La traduzione può presentare un’altra vista degli indirizzi, ma le mappature diretta e inversa devono concordare con il percorso alternativo. Una mappatura unidirezionale produce una connessione che si apre e poi si blocca. Mezza mappatura è peggio di nessuna, perché sembra un progresso.

L’ammissione è la seconda metà. Il lato ricevente deve avere una regola esplicita per questo traffico, una propria registrazione e un modo per distinguere alle tre del mattino un’esenzione approvata da un errore.

Il ripristino fa parte del progetto

Annotate come viene rilevato il guasto, quale politica sceglie il sostituto e cosa accade alle sessioni in corso quando è avvenuto. Una nuova connessione può riuscire dopo il passaggio, mentre una più vecchia mantiene uno stato legato a un indirizzo che non vale più.

Preferite un altro percorso protetto ogni volta che il requisito è una protezione continua. Dove un’eccezione senza protezione è davvero necessaria, limitatela con origini, destinazioni, servizi e una durata, e annotate come viene ritirata.

Provate entrambi gli stati, non solo il guasto

L’accettazione copre il caso del tunnel guasto e quello ripristinato, con un controllo applicativo su ciascuno. Il risultato interessante non è che i pacchetti hanno continuato a muoversi, ma che si sono mossi solo sotto il contratto scelto dall’organizzazione.

Aggiungete anche il test di ritiro. Un’esenzione che nessuno può disattivare è diventata silenziosamente una politica permanente, ed è esattamente ciò contro cui la regola originale proteggeva. Metteteci una data di scadenza e un revisore nominato, altrimenti l’esenzione sopravviverà a tutti quelli che l’hanno capita.