統合型か分離型か: 障害ドメインで VPN ゲートウェイを選ぶ

二台の機器は一台より堅牢に見えますが、同じ電源タップ、同じハイパーバイザー、同じ上流リンクを共有していることに気づくまでです。箱の数を数えても誰も聞いていない問いに答えるだけです。有用な問いは、同時に何が止まるかです。まず障害契約を書き留め、その契約にトポロジーを選ばせます。以下の手順書がその記録を作ります。

一度の再起動で何が止まるか

統合型ゲートウェイでは、再起動、失敗した更新、ハードウェア障害の間に何が消えるかを列挙します。インターネット接続とプライベート接続の両方が止まるなら、その共通の中断はすでに可用性要件の一部です。誰が書き残したかは関係ありません。同じ演習は複数の役割を終端する単一の機器にも当てはまります。それが落とすサービスの一覧こそが実際の仕様です。

分離型ゲートウェイでは、何が共有されたままかを列挙します。電力、仮想化ホスト、上流リンク、ID プロバイダー、管理ネットワークです。一つの故障したスイッチの背後にある二台の機器は二つのホスト名を持つ一つの障害ドメインです。こうした依存を無視した分離は図であって設計ではありません。

保守の所有権も数に入れます。別の機器は設定、監視、バックアップ、二つ目の復旧手順を持ち込み、そのどれも無料ではありません。

各ルールがどこで適用されるかを示す

クライアントからプライベートリソースへ、そして戻る一つのパケットを追跡し、ポリシーが適用されるすべての場所を示します。二台目のルーターは、経路の優先順位、変換、接続状態が最初のものと食い違い得る地点をさらに増やします。二台構成の設計における不可解な障害の多くは、その継ぎ目に住んでいます。

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

VPN 保護がどこで終わり、内部ポリシーがどこから始まるかを書き留めます。二台の機器の間の経路が寛容なら、二つ目の箱は境界を作っていません。境界があり得た場所を移しただけです。単一のプラットフォームでも、別々のポリシーゾーンは有効であり得ますし、その有効性はハードウェアが共有されているからといって退けるのではなく、ルールから評価すべきです。

重要なルールをどの機器が適用しているか言えないなら、そこで止まります。その空白こそが所見であり、後で片付ける詳細ではありません。

封じ込めは境界であり、筐体ではない

分離された機器が侵害を封じ込めるのは、そこを通る経路が相手側の必要に限定されている場合だけです。両方の機器が互いから任意の通信を受け入れるなら、一方に侵入した攻撃者の到達範囲は以前と同じです。封じ込めの主張はルール群に属し、棚卸しには属しません。ルールを読み、どのフローが許可されているかを述べ、そのうえで分離が何かを買ったのかを判断します。

同じ論理は利用者にも当てはまります。到着したネットワークを理由に信頼される VPN 利用者は、ID ではなく場所を信頼しています。NIST のゼロトラスト指針は代替案を述べています。リクエストごとにリソースに対して認証と認可を行います。この原則は、どの筐体がトンネルを終端しても成り立ちます。

分離がフローを変えるためではなくコンプライアンス上の線を満たすために存在するなら、記録にそう書きます。誰も説明できない統制は、圧力の下で最初に外されます。

実際に到達できるものを復旧する

どちらかの役割が死んだとき、どの復旧経路が生き残るかを問います。壊れた VPN ゲートウェイに到達する唯一の道がそのゲートウェイを通るなら、別の場所の予備機器は、それを直す必要のある管理者を助けません。帯域外の経路、コンソール、文書化されたロールバックが、設計を復旧可能にする部分です。

systemctl status strongswan
nft list ruleset
ip -brief address

設計は、孤立した暗号化の数値ではなく、サポートされる完全なワークロードに合わせて大きさを決めます。フィルタリングと検査が同じハードウェアを消費するからです。分離が速いか遅いかを仮定するのではなく、ベンダーの文書と自分の測定を使います。そのうえで決定記録を書きます。どのフローが許可され、どの依存が共有され、保守ウィンドウが何を落とし、どの容量の証拠があり、各復旧手順の所有者が誰か。その記録はレビューできるほど短く、再訪できるほど具体的です。

手順書が終わるのは、障害契約が書かれ、転送経路にルールごとに一つの名前付き適用点があり、封じ込めが機器の数ではなくフローで説明され、復旧が故障した構成要素の外から機能するときです。それらの要件を満たすより単純な配置を選びます。