Біріккен немесе жеке VPN шлюзі: ақау домені бойынша таңдаңыз

Екі құрылғы біреуінен төзімдірек көрінеді, тек олардың бірдей қуат ұзартқышын, бірдей гипервизорды және бірдей жоғарғы арнаны бөлісетінін байқағанша. Қораптарды санау ешкім қоймаған сұраққа жауап береді; пайдалы сұрақ — бір уақытта не істен шығады. Алдымен ақау шартын жазыңыз, содан кейін оған топологияны таңдауға рұқсат етіңіз. Төмендегі runbook сол жазбаны жасайды.

Бір қайта жүктеу кезінде не тоқтайды

Біріккен шлюз үшін қайта жүктеу, сәтсіз жаңарту немесе аппараттық ақау кезінде не жоғалатынын тізімдеңіз. Егер интернетке қол жеткізу мен жеке байланыс бірге тоқтаса, бұл ортақ үзіліс енді сіздің қолжетімділік талабыңыздың бөлігі, оны біреу жазды ма, жазбады ма. Сол жаттығу бірнеше рөлді аяқтайтын бір құрылғыға да қатысты: ол түсіретін қызметтер тізімі — нақты сипаттама.

Жеке шлюздер үшін не ортақ қалатынын тізімдеңіз: қуат, виртуализация хосты, жоғарғы арна, сәйкестендіру провайдері, басқару желісі. Бір ақаулы коммутатордың артындағы екі құрылғы екі хост атауы бар бір ақау домені. Осы тәуелділіктерді елемейтін бөлу — диаграмма, дизайн емес.

Қызмет көрсету меншігін де санаңыз. Басқа құрылғы конфигурация, мониторинг, резервтік көшірмелер және екінші қалпына келтіру процедурасын әкеледі, және оның ешқайсысы тегін емес.

Әр ереженің қайда қолданылатынын белгілеңіз

Клиенттен жеке ресурсқа дейін және кері бір пакетті қадағалаңыз, саясат қолданылатын әр орынды белгілеңіз. Екінші маршрутизатор маршрут басымдығы, аударма немесе қосылым күйі біріншісімен келіспеуі мүмкін тағы бір нүкте қосады. Екі шлюзді дизайндағы ең жұмбақ ақаулар сол тігісте өмір сүреді.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

VPN қорғанысы қайда бітетінін және ішкі саясат қайда басталатынын жазыңыз. Егер екі құрылғы арасындағы жол рұқсат беретін болса, екінші қорап шекара жасамаған; ол шекара болуы мүмкін орынды ғана жылжытқан. Бір платформада бөлек саясат аймақтары әлі де тиімді болуы мүмкін, және олардың тиімділігін аппарат ортақ деп қабылдамай, ережелер бойынша бағалау керек.

Маңызды ережені қай құрылғы қолданатынын айта алмасаңыз, тоқтаңыз. Сол олқылық — табылған нәрсе, кейін шешілетін деталь емес.

Оқшаулау — шекара, корпус емес

Жеке құрылғы компромиссті тек ол арқылы өтетін жол екінші жаққа қажет нәрсемен шектелгенде ғана ұстайды. Егер екі құрылғы бір-бірінен кез келген трафикті қабылдаса, біреуіне қонған шабуылдаушы бұрынғыдай қол жеткізуге ие. Оқшаулау туралы мәлімдеме ережелер жиынтығына жатады, тізімге емес. Ережелерді оқыңыз, қандай ағындарға рұқсат етілгенін айтыңыз, содан кейін бөлу бірдеңе сатып алды ма, шешіңіз.

Сол логика пайдаланушыларға да қатысты. Келген желісіне байланысты сенімді VPN пайдаланушысы сәйкестендіруге емес, орынға сенеді, және NIST-тің нөлдік сенім нұсқаулығы баламаны сипаттайды: әр сұранысты ресурсқа қатысты аутентификациялау және авторизациялау. Бұл қағида туннельді қай корпус аяқтаса да қолданылады.

Егер бөлу ағынды өзгерту үшін емес, сәйкестік сызығын қанағаттандыру үшін болса, оны жазбада айтыңыз. Ешкім түсіндіре алмайтын бақылау қысым астында бірінші алынады.

Шынымен жете алатыныңызды қалпына келтіріңіз

Екі рөлдің бірі өлгенде қандай қалпына келтіру жолы сақталатынын сұраңыз. Сынық VPN шлюзіне жетудің жалғыз жолы сол шлюз арқылы өтсе, басқа жердегі қосалқы құрылғы оны жөндеуі керек әкімшіге көмектеспейді. Аймақтан тыс жол, консоль және құжатталған кері қайтару — дизайнды қалпына келтіруге болатын бөліктер.

systemctl status strongswan
nft list ruleset
ip -brief address

Дизайнды толық қолдау көрсетілетін жүктемеге өлшеңіз, оқшауланған шифрлау санына емес, өйткені сүзгілеу мен тексеру бірдей аппаратты тұтынады. Бөлу жылдамырақ немесе баяуырақ деп болжаудың орнына өндіруші құжаттарын және өз өлшемдеріңізді пайдаланыңыз. Содан кейін шешім жазбасын жазыңыз: қандай ағындарға рұқсат етілген, қандай тәуелділіктер ортақ, қызмет көрсету терезесі нені түсіреді, қандай сыйымдылық дәлелдеріңіз бар және әр қалпына келтіру қадамының иесі кім. Бұл жазба қарауға жеткілікті қысқа және қайта оралуға жеткілікті нақты.

Runbook ақау шарты жазылғанда, жіберу жолында әр ереже үшін бір атаулы қолдану нүктесі болғанда, оқшаулау құрылғы санымен емес, ағындармен сипатталғанда және қалпына келтіру ақаулы құрамдас бөліктің сыртынан жұмыс істегенде аяқталады. Осы талаптарға сай келетін қарапайым орналасуды таңдаңыз.