통합형과 분리형 VPN 게이트웨이: 장애 도메인으로 고르기

두 장비는 하나보다 견고해 보이지만, 같은 전원 스트립과 같은 하이퍼바이저, 같은 상류 링크를 공유한다는 것을 알아차릴 때까지입니다. 상자 개수를 세는 것은 아무도 묻지 않은 질문에 답할 뿐입니다. 유용한 질문은 동시에 무엇이 멈추는가입니다. 먼저 장애 계약을 적고, 그 계약이 토폴로지를 고르게 하십시오. 아래 런북이 그 기록을 만듭니다.

한 번의 재부팅 동안 무엇이 멈추는가

통합형 게이트웨이라면 재부팅, 실패한 업데이트, 하드웨어 결함 동안 무엇이 사라지는지 나열하십시오. 인터넷 접근과 사설 연결이 함께 멈춘다면, 그 공통 중단은 이제 가용성 요구 사항의 일부입니다. 누가 적었든 아니든 마찬가지입니다. 같은 연습은 여러 역할을 종료하는 단일 장비에도 적용됩니다. 그것이 내리는 서비스 목록이 실제 사양입니다.

분리형 게이트웨이라면 무엇이 공유된 채로 남는지 나열하십시오. 전력, 가상화 호스트, 상류 링크, ID 공급자, 관리 네트워크입니다. 하나의 고장 난 스위치 뒤에 있는 두 장비는 두 호스트 이름을 가진 하나의 장애 도메인입니다. 그런 의존성을 무시한 분리는 도면이지 설계가 아닙니다.

유지보수 소유권도 세십시오. 다른 장비는 구성, 모니터링, 백업, 두 번째 복구 절차를 가져오며 그중 어느 것도 무료가 아닙니다.

각 규칙이 어디서 적용되는지 표시하십시오

클라이언트에서 사설 리소스까지 갔다가 돌아오는 패킷 하나를 추적하고 정책이 적용되는 모든 지점을 표시하십시오. 두 번째 라우터는 경로 우선순위, 변환, 연결 상태가 첫 번째와 어긋날 수 있는 지점을 하나 더 추가합니다. 이중 게이트웨이 설계의 불가사의한 장애 대부분은 그 이음매에 삽니다.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

VPN 보호가 어디서 끝나고 내부 정책이 어디서 시작하는지 적으십시오. 두 장비 사이의 경로가 관대하다면 두 번째 상자는 경계를 만들지 않았습니다. 경계가 있을 수 있었던 자리를 옮겼을 뿐입니다. 단일 플랫폼에서도 별도의 정책 영역은 여전히 효과적일 수 있으며, 그 효과는 하드웨어가 공유된다는 이유로 배척할 것이 아니라 규칙에서 평가해야 합니다.

중요한 규칙을 어느 장비가 적용하는지 말할 수 없다면 멈추십시오. 그 공백이 바로 발견이며, 나중에 정리할 세부 사항이 아닙니다.

격리는 경계이지 섀시가 아니다

분리된 장비는 그를 지나는 경로가 상대편이 필요로 하는 것으로 제한될 때만 침해를 억제합니다. 두 장비가 서로 어떤 트래픽이든 받아들인다면, 한쪽에 침입한 공격자는 이전과 같은 범위를 가집니다. 격리 주장은 규칙 집합에 속하지 자산 목록에 속하지 않습니다. 규칙을 읽고 어떤 흐름이 허용되는지 말한 다음, 분리가 무엇을 사들였는지 판단하십시오.

같은 논리가 사용자에게도 적용됩니다. 도착한 네트워크 때문에 신뢰받는 VPN 사용자는 ID 대신 위치를 신뢰하는 것입니다. NIST의 제로 트러스트 지침은 대안을 설명합니다. 요청마다 리소스에 대해 인증하고 권한을 부여하십시오. 이 원칙은 어느 섀시가 터널을 종료하든 성립합니다.

분리가 흐름을 바꾸기 위해서가 아니라 규정 준수 선을 만족시키기 위해 존재한다면 기록에 그렇게 적으십시오. 아무도 설명할 수 없는 통제가 압박을 받으면 가장 먼저 제거됩니다.

실제로 닿을 수 있는 것을 복구하십시오

어느 한 역할이 죽었을 때 어떤 복구 경로가 살아남는지 물으십시오. 고장 난 VPN 게이트웨이에 닿는 유일한 길이 그 게이트웨이를 통과한다면, 다른 곳의 예비 장비는 그것을 고쳐야 하는 관리자에게 도움이 되지 않습니다. 대역 밖 경로, 콘솔, 문서화된 롤백이 설계를 복구 가능하게 만드는 부분입니다.

systemctl status strongswan
nft list ruleset
ip -brief address

설계는 고립된 암호화 수치가 아니라 지원되는 전체 워크로드에 맞춰 크기를 정하십시오. 필터링과 검사가 같은 하드웨어를 소비하기 때문입니다. 분리가 더 빠른지 느린지 가정하는 대신 공급업체 문서와 자체 측정을 사용하십시오. 그다음 결정 기록을 작성하십시오. 어떤 흐름이 허용되는지, 어떤 의존성이 공유되는지, 유지보수 창이 무엇을 내리는지, 어떤 용량 증거가 있는지, 각 복구 단계의 소유자가 누구인지. 그 기록은 검토하기에 충분히 짧고 다시 찾아갈 만큼 구체적입니다.

런북은 장애 계약이 작성되고, 전달 경로에 규칙마다 이름 붙은 적용 지점이 하나 있으며, 격리가 장비 수가 아니라 흐름으로 설명되고, 복구가 고장 난 구성 요소 바깥에서 작동할 때 끝납니다. 그 요구 사항을 충족하는 더 단순한 배치를 고르십시오.