Inventario VPN: accesso previsto, configurazione generata, sessioni attive
Il nome di un tunnel è un’osservazione, non un record di servizio. Unisci l’inquilino, la configurazione distribuita e le prove di contabilità prima di ritirare qualsiasi cosa.
Ogni nome di tunnel sembra una riga di inventario finché non chiedi a chi appartiene. Un nome ti dice che qualcosa è connesso adesso; non può dirti a chi appartiene il servizio, cosa è loro consentito raggiungere, né se la configurazione che ha prodotto il tunnel è quella che hai approvato. Su scala di flotta, quelle tre domande sono l’inventario, e il tunnel è solo l’osservazione più recente.
Un servizio, tre record
Il servizio previsto è ciò a cui l’inquilino ha diritto: identità, prefissi, risorse e uno stato del ciclo di vita. La configurazione distribuita è la politica generata che dovrebbe realizzarlo. La sessione osservata è prova in tempo di esecuzione che qualcosa si è connesso. Trattarli come un’unica tabella comprime tre tipi diversi di verità in una riga che è sbagliata in tre modi contemporaneamente.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
La prova pratica è una domanda a cui ogni record può rispondere da solo. Chiedi a chi appartiene questo prefisso e il record del servizio previsto risponde. Chiedi quale politica detiene il gateway e il record distribuito risponde. Chiedi se qualcuno l’ha usato questa settimana e il record della sessione risponde. La colonna che non riesce a rispondere alla propria domanda è quella da correggere per prima.
Registra l’inquilino, non l’interfaccia
Dai a ogni servizio un identificatore che sopravvive a una riconnessione. Un’interfaccia di tunnel temporanea o un numero di sessione cambiano per ragioni che non hanno nulla a che fare con il cliente, e un inventario basato su uno di essi guadagna una nuova riga ogni volta che un collegamento vacilla. Basalo invece sull’inquilino e sul servizio, poi collega le osservazioni a quella chiave.
Il record richiede l’inquilino e l’operatore responsabili, l’identità di peer o utente accettata, un riferimento alla credenziale anziché una copia, i prefissi protetti, il contesto di routing, le risorse consentite e lo stato del ciclo di vita previsto. Il materiale delle credenziali appartiene all’archivio dei segreti supportato; un inventario che porta chiavi private è diventato una seconda copia della flotta, peggio protetta.
La configurazione generata ha un proprietario e una versione
L’automazione rende questo più facile e lo nasconde meglio. Un generatore che gira con successo dimostra che il modello è stato renderizzato, non che ogni dispositivo corrisponda all’output. Prima o poi qualcuno modificherà un gateway a mano durante un incidente, e quella modifica è la cosa più preziosa da catturare, perché è l’unica che nessuna esecuzione successiva riprodurrà.
Registra quale revisione ha prodotto la politica distribuita, e conserva le modifiche dirette come differenza da riconciliare invece di sovrascriverle in silenzio. La riconciliazione è il prodotto qui: il successo del generatore e lo stato reale del dispositivo sono due fatti da confrontare, non da dare per uguali.
Le sessioni sono prove, non autorizzazioni
Dove la distribuzione usa la contabilità RADIUS, l’RFC 2866 fornisce campi concreti con cui lavorare. Acct-Status-Type distingue un inizio da un arresto, e i record di una stessa sessione condividono un Acct-Session-Id. Quei campi ti permettono di ricostruire quando una sessione è iniziata e finita senza fidarti del riepilogo di una dashboard.
Un identificatore di contabilità è prova in tempo di esecuzione. Non definisce quale inquilino possiede una sottorete e non concede accesso a nulla. Correlalo con il gateway e con l’identità del servizio, poi tieni l’ora di raccolta accanto all’osservazione. Un rapporto mancante può essere un guasto della telemetria e non un’assenza di uso, e un vecchio record non è prova che l’accesso sia ancora attivo adesso.
Il ritiro usa lo stesso collegamento
Rimuovere un servizio significa rimuovere l’accesso previsto, le credenziali e le sessioni attive, in quest’ordine, tramite i proprietari di ciascuno. Poi verifica che la configurazione obsoleta sia sparita dai dispositivi e che i suoi percorsi consentiti non si risolvano più. Un cliente andato via nel trimestre scorso non dovrebbe comparire ancora in un elenco di prefissi perché il nome del tunnel è stato cancellato ma la rotta no.
Niente di tutto questo richiede un apparato per funzione o un particolare prodotto di automazione. Il requisito operativo è più stretto e più difficile: un cliente, il suo accesso previsto, la politica distribuita e le prove attuali in tempo di esecuzione devono essere collegabili senza affidarsi alla memoria di qualcuno su un nome di tunnel. Costruisci prima i tre record, poi scegli gli strumenti che li mantengono.