IPsec이 끊기면 예비 경로는 대비 정책이 아니다

한 사이트가 터널을 잃었는데 라우팅 테이블은 여전히 인터넷을 거쳐 목적지로 가는 완벽하게 쓸 만한 경로를 보여 준다. 누군가 그리로 넘어가자고 제안하고 그 변경을 라우팅 수정이라 부른다. 패킷은 그 길로 갈 수 있었을 것이다. 아무도 묻지 않은 질문은 보호 없이 도착해도 되는가이다. 서로 다른 테이블에서 나온 서로 다른 답이며, 둘을 뒤섞는 것이 장애를 사건으로 만드는 방식이다.

라우팅 테이블에서 똑같아 보이는 두 결과

도달 가능성은 패킷에 갈 곳이 있다고 말한다. 보안 정책은 그 패킷이 가는 길에 무엇이 일어나야 하는지를 말하며, 둘은 서로 다른 장치로 강제된다. 정책이 반드시 버려야 하는 흐름에도 경로는 존재할 수 있고, 그 조합은 설정 오류가 아니다. 두 질문을 분리하는 것이 장애 계획을 검토 가능하게 만든다.

그래서 장애 경로는 누군가 허용된 결과 중 무엇이 적용되는지 결정한 뒤에야 설계가 된다. 그 결정이 없으면 예비 경로는 계획이 아니라 유혹이다.

정책 모델에는 두 개가 아니라 세 개의 판정이 있다

IPsec 구조는 폐기해야 하는 트래픽, 보호를 우회해도 되는 트래픽, 보호해야 하는 트래픽을 구분한다. 세 가지 서로 다른 지시이며, 가운데 것은 장애 모드가 아니라 의도된 면제다. 이것을 한 쌍으로 읽는 것이 터널과 열린 길 사이의 거짓 선택을 낳는다.

없는 연관은 보호 규칙을 조용히 우회로 승격하지 않는다. 정책은 여전히 보호하라고 말하므로 패킷은 기다리거나 죽는다. 그 행동은 적힌 대로 동작하는 통제이며 정책이 고장 났다는 증거가 아니다.

자기 흐름의 요구를 세 문장 중 하나로 써라. 보호된 경로가 생길 때까지 멈추거나, 다른 보호된 경로로 옮기거나, IPsec 없이 돌도록 별도로 승인된 경로를 쓰는 것이다. 보안 계약을 바꾸는 것은 세 번째뿐이며, 서명할 수 있는 소유자가 필요하다. 그 문장은 변경 기록에 남기는 것이지 누군가의 기억에 남기는 것이 아니다. 검토자는 두 번째 문장을 승인하고 세 번째를 거부하며, 둘 다 보이게 되면 합리적인 판단이다.

우회는 양쪽 끝이 서명하는 계약이다

대체 경로에는 라우팅 가능한 주소, 도착하는 지점에서의 명시적 승인, 양방향으로 동작하는 응답 경로가 필요하다. 사이트 사설 주소는 기본 경로가 어딘가를 가리킨다고 해서 도달 가능해지지 않는다.

인증은 주소 지정만큼 중요하다. 터널을 건너뛰고 보호를 기대하는 경계에 도착한 트래픽은 올바른 인터페이스에 닿아도 거부되므로, 수신 정책이 그 형태를 의도적으로 받아들여야 한다. 원격 쪽이 한 번도 동의한 적 없는 면제는 절차만 늘어난 장애다.

장애 조치가 동작하도록 선택자를 없애거나 맵을 느슨하게 하는 것은 통제된 면제가 아니다. 면제 범위를 넓히고, 원격 쪽은 다른 것을 강제하게 두고, 어떤 변환 규칙이 흐름에 맞는지 바꿀 수 있다.

변환과 수용은 계산을 바꾼다

변환은 다른 주소 관점을 제시할 수 있지만, 순방향과 역방향 매핑이 대체 경로와 일치해야 한다. 단방향 매핑은 열렸다가 매달리는 연결을 만든다. 반쪽 매핑은 없는 것보다 나쁘다. 진전처럼 보이기 때문이다.

수용이 나머지 반이다. 수신 측에는 이 트래픽을 위한 명시적 규칙, 자체 기록, 그리고 새벽 세 시에 승인된 면제와 실수를 구별할 방법이 있어야 한다.

복구는 설계의 일부다

장애가 어떻게 탐지되는지, 어떤 정책이 대체를 고르는지, 발생 당시 돌고 있던 세션이 어떻게 되는지를 기록하라. 새 연결은 장애 조치 뒤에 성공할 수 있지만, 오래된 연결은 더는 적용되지 않는 주소에 묶인 상태를 유지한다.

요구가 연속적 보호일 때는 항상 다른 보호된 경로를 선호하라. 보호 없는 예외가 정말로 필요하다면 출발지, 목적지, 서비스, 기간으로 한정하고, 그것이 어떻게 철회되는지 적어 두라.

장애만이 아니라 두 상태를 모두 시험하라

수용은 터널이 실패한 경우와 복구된 경우를 모두 포함하며, 각각에 응용 프로그램 점검을 둔다. 흥미로운 결과는 패킷이 계속 움직였다는 것이 아니라, 조직이 고른 계약 아래에서만 움직였다는 것이다.

철회 시험도 더하라. 아무도 끌 수 없는 면제는 조용히 영구 정책이 되었으며, 원래 규칙이 막으려던 것이 바로 그것이다. 만료일과 이름이 붙은 검토자를 붙여라. 그렇지 않으면 면제는 그것을 이해한 모든 사람보다 오래 살아남는다.