გაერთიანებული თუ ცალკე VPN კარიბჭე: აირჩიეთ მარცხის დომენის მიხედვით

ორი მოწყობილობა უფრო მდგრადი ჩანს, ვიდრე ერთი, სანამ არ შეამჩნევთ, რომ ისინი ერთსა და იმავე დენის ზოლს, ერთსა და იმავე ჰიპერვიზორს და ერთსა და იმავე ზედა რგოლს იზიარებენ. ყუთების დათვლა პასუხობს კითხვას, რომელიც არავის დაუსვამს; სასარგებლო კითხვაა, რა ფუჭდება ერთდროულად. ჯერ ჩაწერეთ მარცხის ხელშეკრულება, შემდეგ მიეცით მას ტოპოლოგიის არჩევის უფლება. ქვემოთ მოცემული runbook სწორედ ამ ჩანაწერს ქმნის.

რა ჩერდება ერთი გადატვირთვის დროს

გაერთიანებული კარიბჭისთვის ჩამოთვალეთ, რა ქრება გადატვირთვის, წარუმატებელი განახლების ან ტექნიკის ხარვეზის დროს. თუ ინტერნეტზე წვდომა და კერძო კავშირი ერთად ჩერდება, ეს საერთო შეწყვეტა ახლა თქვენი ხელმისაწვდომობის მოთხოვნის ნაწილია, მიუხედავად იმისა, დაწერა თუ არა ვინმემ ის. იგივე ვარჯიში ეხება ერთ მოწყობილობას, რომელიც რამდენიმე როლს ამთავრებს: სერვისების სია, რომლებსაც ის აგდებს, ნამდვილი სპეციფიკაციაა.

ცალკე კარიბჭეებისთვის ჩამოთვალეთ, რა რჩება საერთო: კვება, ვირტუალიზაციის ჰოსტი, ზედა რგოლი, იდენტობის მომწოდებელი, მართვის ქსელი. ერთი გაფუჭებული კომუტატორის უკან მდგარი ორი მოწყობილობა ერთი მარცხის დომენია ორი ჰოსტის სახელით. განცალკევება, რომელიც ამ დამოკიდებულებებს უგულებელყოფს, დიაგრამაა და არა დიზაინი.

დაითვალეთ მომსახურების საკუთრებაც. სხვა მოწყობილობა მოაქვს კონფიგურაცია, მონიტორინგი, სარეზერვო ასლები და მეორე აღდგენის პროცედურა და ამათგან არც ერთი უფასო არ არის.

მონიშნეთ, სად მოქმედებს თითოეული წესი

თვალყური ადევნეთ ერთ პაკეტს კლიენტიდან კერძო რესურსამდე და უკან, და მონიშნეთ ყველა ადგილი, სადაც პოლიტიკა გამოიყენება. მეორე მარშრუტიზატორი ამატებს კიდევ ერთ წერტილს, სადაც მარშრუტის უპირატესობა, ტრანსლაცია ან კავშირის მდგომარეობა შეიძლება არ დაემთხვეს პირველს. ორკარიბჭიანი დიზაინის ყველაზე იდუმალი მარცხები სწორედ ამ ნაკერზე ცხოვრობს.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

ჩაწერეთ, სად მთავრდება VPN დაცვა და სად იწყება შიდა პოლიტიკა. თუ ორ მოწყობილობას შორის გზა დასაშვებია, მეორე ყუთს საზღვარი არ შეუქმნია; მან მხოლოდ გადაიტანა ადგილი, სადაც საზღვარი შეიძლებოდა ყოფილიყო. ერთ პლატფორმაზე ცალკე პოლიტიკის ზონები შეიძლება კვლავ ეფექტური იყოს და მათი ეფექტურობა წესებიდან უნდა შეფასდეს, და არა უარყოფილ იქნას იმის გამო, რომ ტექნიკა საერთოა.

გაჩერდით, თუ ვერ ამბობთ, რომელი მოწყობილობა ახორციელებს მნიშვნელოვან წესს. ეს ხვრელი სწორედ აღმოჩენაა და არა მოგვიანებით მოსაგვარებელი დეტალი.

შეზღუდვა საზღვარია და არა კორპუსი

ცალკე მოწყობილობა კომპრომისს შეიცავს მხოლოდ მაშინ, როცა მასში გამავალი გზა შემოიფარგლება იმით, რაც მეორე მხარეს სჭირდება. თუ ორივე მოწყობილობა ერთმანეთისგან ნებისმიერ ტრაფიკს იღებს, ერთზე დაშვებულ თავდამსხმელს იგივე წვდომა აქვს, რაც ადრე. შეზღუდვის მტკიცება წესების ერთობლიობას ეკუთვნის და არა ინვენტარს. წაიკითხეთ წესები, თქვით რომელი ნაკადებია დაშვებული, შემდეგ გადაწყვიტეთ, რამე იყიდა თუ არა განცალკევებამ.

იგივე ლოგიკა ეხება მომხმარებლებს. VPN მომხმარებელი, რომელსაც ენდობიან იმ ქსელის გამო, საიდანაც მოვიდა, ენდობა მდებარეობას და არა იდენტობას, და NIST-ის ნულოვანი ნდობის სახელმძღვანელო აღწერს ალტერნატივას: ყოველი მოთხოვნის ავთენტიფიკაცია და ავტორიზაცია რესურსის მიმართ. ეს პრინციპი მოქმედებს, რომელი კორპუსიც არ უნდა ამთავრებდეს გვირაბს.

თუ განცალკევება არსებობს შესაბამისობის ხაზის დასაკმაყოფილებლად და არა ნაკადის შესაცვლელად, თქვით ეს ჩანაწერში. ის კონტროლი, რომელსაც ვერავინ ხსნის, პირველი მოიხსნება ზეწოლის ქვეშ.

აღადგინეთ ის, რასაც ნამდვილად აღწევთ

იკითხეთ, რომელი აღდგენის გზა რჩება, როცა რომელიმე როლი კვდება. როცა გატეხილ VPN კარიბჭემდე მისვლის ერთადერთი გზა სწორედ იმ კარიბჭეზე გადის, სხვაგან მდებარე სარეზერვო მოწყობილობა არ ეხმარება ადმინისტრატორს, რომელმაც ის უნდა შეაკეთოს. ზოლგარე გზა, კონსოლი და დოკუმენტირებული უკან დაბრუნება არის ის ნაწილები, რომლებიც დიზაინს აღდგენადს ხდის.

systemctl status strongswan
nft list ruleset
ip -brief address

გაზომეთ დიზაინი სრული მხარდაჭერილი დატვირთვისთვის და არა იზოლირებული დაშიფვრის რიცხვისთვის, რადგან ფილტრაცია და ინსპექტირება იმავე ტექნიკას მოიხმარს. გამოიყენეთ მომწოდებლის დოკუმენტაცია და საკუთარი გაზომვები იმის ნაცვლად, რომ ჩათვალოთ განცალკევება უფრო სწრაფი ან ნელი. შემდეგ დაწერეთ გადაწყვეტილების ჩანაწერი: რომელი ნაკადებია დაშვებული, რომელი დამოკიდებულებებია საერთო, რას აგდებს მომსახურების ფანჯარა, რა სიმძლავრის მტკიცებულებები გაქვთ და ვის ეკუთვნის თითოეული აღდგენის ნაბიჯი. ეს ჩანაწერი საკმარისად მოკლეა გადასახედად და საკმარისად კონკრეტული, რომ დაუბრუნდეთ.

Runbook მთავრდება მაშინ, როცა მარცხის ხელშეკრულება დაწერილია, გადამისამართების გზას თითოეული წესისთვის ერთი დასახელებული გამოყენების წერტილი აქვს, შეზღუდვა აღწერილია ნაკადებით და არა მოწყობილობების რაოდენობით, და აღდგენა მუშაობს გაფუჭებული კომპონენტის გარედან. აირჩიეთ უფრო მარტივი განლაგება, რომელიც ამ მოთხოვნებს აკმაყოფილებს.