VPN ინვენტარი: განზრახული წვდომა, გენერირებული კონფიგურაცია, ცოცხალი სესიები
გვირაბის სახელი დაკვირვებაა და არა სერვისის ჩანაწერი. სანამ რაიმეს გამორთავთ, დააკავშირეთ მოიჯარე, განლაგებული კონფიგურაცია და აღრიცხვის მტკიცებულებები.
ყოველი გვირაბის სახელი ინვენტარის სტრიქონს ჰგავს, სანამ არ ჰკითხავთ, ვის ეკუთვნის ის. სახელი გეუბნებათ, რომ რაღაც ახლა დაკავშირებულია; მას არ შეუძლია გითხრათ, ვის ეკუთვნის სერვისი, რისი მიღწევის უფლება აქვთ მათ, ან არის თუ არა ის კონფიგურაცია, რომელმაც გვირაბი შექმნა, თქვენ მიერ დამტკიცებული. ფლოტის მასშტაბზე სწორედ ეს სამი კითხვაა ინვენტარი, ხოლო გვირაბი მხოლოდ უახლესი დაკვირვებაა.
ერთი სერვისი, სამი ჩანაწერი
განზრახული სერვისი არის ის, რაზეც მოიჯარეს უფლება აქვს: იდენტობები, პრეფიქსები, რესურსები და სასიცოცხლო ციკლის მდგომარეობა. განლაგებული კონფიგურაცია არის გენერირებული პოლიტიკა, რომელმაც ის უნდა განახორციელოს. დაკვირვებული სესია არის გაშვების დროის მტკიცებულება იმისა, რომ რაღაც დაკავშირდა. მათი ერთ ცხრილად მიჩნევა სამი განსხვავებული სახის სიმართლეს აჭერს ერთ სტრიქონში, რომელიც ერთდროულად სამი გზით არასწორია.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
პრაქტიკული გამოცდა არის კითხვა, რომელზეც ყოველ ჩანაწერს დამოუკიდებლად შეუძლია პასუხის გაცემა. ჰკითხეთ, ვის ეკუთვნის ეს პრეფიქსი და განზრახული სერვისის ჩანაწერი გიპასუხებთ. ჰკითხეთ, რა პოლიტიკა აქვს კარიბჭეს და განლაგებული ჩანაწერი გიპასუხებთ. ჰკითხეთ, გამოიყენა თუ არა ვინმემ ეს ამ კვირაში და სესიის ჩანაწერი გიპასუხებთ. ის სვეტი, რომელსაც საკუთარ კითხვაზე პასუხის გაცემა არ შეუძლია, პირველად უნდა გამოსწორდეს.
ჩაწერეთ მოიჯარე და არა ინტერფეისი
მიეცით ყოველ სერვისს იდენტიფიკატორი, რომელიც გადარჩება ხელახალ დაკავშირებას. დროებითი გვირაბის ინტერფეისი ან სესიის ნომერი იცვლება მიზეზებით, რომლებსაც კლიენტთან არაფერი აქვთ საერთო, და მათგან ერთზე დაფუძნებული ინვენტარი ყოველ ჯერზე ახალ სტრიქონს იღებს, როცა კავშირი რყევა. ამის ნაცვლად დააფუძნეთ ის მოიჯარესა და სერვისზე, შემდეგ დაამაგრეთ დაკვირვებები ამ გასაღებზე.
ჩანაწერს სჭირდება პასუხისმგებელი მოიჯარე და ოპერატორი, მიღებული პარტნიორის ან მომხმარებლის იდენტობა, მითითება სერთიფიკატზე და არა მისი ასლი, დაცული პრეფიქსები, მარშრუტიზაციის კონტექსტი, დაშვებული რესურსები და განზრახული სასიცოცხლო ციკლის მდგომარეობა. სერთიფიკატის მასალა ეკუთვნის მხარდაჭერილ საიდუმლოთა საცავს; ინვენტარი, რომელიც კერძო გასაღებებს ატარებს, გარემოს მეორე, უარესად დაცულ ასლად იქცა.
გენერირებულ კონფიგურაციას ჰყავს მფლობელი და აქვს ვერსია
ავტომატიზაცია ამას აადვილებს და უკეთ მალავს. წარმატებით მომუშავე გენერატორი ამტკიცებს, რომ შაბლონი გამოისახა და არა ის, რომ ყოველი მოწყობილობა შედეგს შეესაბამება. ვინმე ინციდენტის დროს ხელით შეცვლის კარიბჭეს და სწორედ ეს ცვლილებაა დასაფიქსირებელი ყველაზე ძვირფასი რამ, რადგან ის ერთადერთია, რომელსაც არცერთი შემდგომი გაშვება არ გაიმეორებს.
ჩაწერეთ, რომელმა რევიზიამ შექმნა განლაგებული პოლიტიკა, და შეინახეთ პირდაპირი ცვლილებები, როგორც შესათანხმებელი განსხვავება მათი ჩუმად გადაწერის ნაცვლად. შეთანხმება სწორედ აქ არის პროდუქტი: გენერატორის წარმატება და მოწყობილობის რეალური მდგომარეობა ორი ფაქტია, რომლებიც უნდა შევადაროთ და არა თანაბრად ჩავთვალოთ.
სესიები მტკიცებულებაა და არა ნებართვა
სადაც განლაგება RADIUS-ის აღრიცხვას იყენებს, RFC 2866 სამუშაოდ კონკრეტულ ველებს იძლევა. Acct-Status-Type განასხვავებს დაწყებას გაჩერებისგან, და ერთ სესიას მიკუთვნებული ჩანაწერები იზიარებენ Acct-Session-Id-ს. ეს ველები საშუალებას გაძლევთ აღადგინოთ, როდის დაიწყო და დასრულდა სესია, პანელის შეჯამების ნდობის გარეშე.
აღრიცხვის იდენტიფიკატორი გაშვების დროის მტკიცებულებაა. ის არ განსაზღვრავს, რომელ მოიჯარეს ეკუთვნის ქვექსელი და არავის აძლევს რაიმეზე წვდომას. დააკავშირეთ ის კარიბჭესა და სერვისის იდენტობასთან, შემდეგ შეგროვების დრო დაკვირვების გვერდით შეინახეთ. დაკარგული ანგარიში შეიძლება ტელემეტრიის ჩავარდნა იყოს და არა გამოყენების არარსებობა, და ძველი ჩანაწერი არ ამტკიცებს, რომ წვდომა ახლაც აქტიურია.
გამორთვა იმავე შეერთებას იყენებს
სერვისის მოცილება ნიშნავს განზრახული წვდომის, სერთიფიკატებისა და ცოცხალი სესიების მოცილებას, სწორედ ამ თანმიმდევრობით, თითოეულის მფლობელების მეშვეობით. შემდეგ შეამოწმეთ, რომ მოძველებული კონფიგურაცია მოწყობილობებიდან გაქრა და რომ მისი დაშვებული ბილიკები აღარ წყდება. კლიენტი, რომელიც შარშანდელ კვარტალში წავიდა, არ უნდა რჩებოდეს პრეფიქსების სიაში მხოლოდ იმიტომ, რომ გვირაბის სახელი წაიშალა, მარშრუტი კი არა.
ამათგან არცერთი არ მოითხოვს ერთ მოწყობილობას ერთ ფუნქციაზე ან კონკრეტულ ავტომატიზაციის პროდუქტს. ოპერაციული მოთხოვნა უფრო ვიწრო და რთულია: კლიენტი, მისი განზრახული წვდომა, განლაგებული პოლიტიკა და მიმდინარე გაშვების დროის მტკიცებულებები უნდა იყოს შეერთებადი ვინმეს გვირაბის სახელის მეხსიერებაზე დაყრდნობის გარეშე. ჯერ ააგეთ სამი ჩანაწერი, შემდეგ შეარჩიეთ მათი შემნახველი ხელსაწყოები.