Бириктирилген же өзүнчө VPN шлюзу: бузулуу домени боюнча тандаңыз

Эки түзмөк бирөөнөн бекем көрүнөт, алар бирдей кубат узарткычын, бирдей гипервизорду жана бирдей жогорку каналды бөлүшөрүн байкаганга чейин. Кутуларды саноо эч ким сурабаган суроого жооп берет; пайдалуу суроо — бир убакта эмне иштебей калат. Адегенде бузулуу келишимин жазыңыз, андан кийин ал топологияны тандасын. Төмөнкү runbook ошол жазууну түзөт.

Бир кайра жүктөө учурунда эмне токтойт

Бириктирилген шлюз үчүн кайра жүктөө, ийгиликсиз жаңыртуу же аппараттык бузулуу учурунда эмне жоголорун тизмелеңиз. Эгер интернетке кирүү жана жеке байланыш чогуу токтосо, бул жалпы үзгүлтүк эми сиздин жеткиликтүүлүк талабыңыздын бөлүгү, аны кимдир бирөө жаздыбы, жокпу. Ошол эле көнүгүү бир нече ролду бүтүргөн бир түзмөккө да тиешелүү: ал түшүргөн кызматтардын тизмеси — чыныгы спецификация.

Өзүнчө шлюздар үчүн эмне жалпы бойдон каларын тизмелеңиз: кубат, виртуалдаштыруу хосту, жогорку канал, инсандык провайдери, башкаруу тармагы. Бир бузулган коммутатордун артындагы эки түзмөк эки хост аты бар бир бузулуу домени. Бул көз карандылыктарды этибарга албаган бөлүү — диаграмма, долбоор эмес.

Тейлөө ээлигин да санаңыз. Башка түзмөк конфигурация, мониторинг, камдык көчүрмөлөр жана экинчи калыбына келтирүү процедурасын алып келет, жана алардын эч бири бекер эмес.

Ар бир эреже кайда колдонуларын белгилеңиз

Кардардан жеке ресурска чейин жана кайра бир пакетти көзөмөлдөңүз, саясат колдонулган ар бир жерди белгилеңиз. Экинчи маршрутизатор маршрут артыкчылыгы, котормо же туташуу абалы биринчиси менен дал келбеши мүмкүн болгон дагы бир чекитти кошот. Эки шлюздуу долбоордогу эң сырдуу бузулуулар ошол тигиште жашайт.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

VPN коргоосу кайда бүтөрүн жана ички саясат кайда башталарын жазыңыз. Эгер эки түзмөктүн ортосундагы жол уруксат берүүчү болсо, экинчи куту чек ара түзгөн эмес; ал чек ара болушу мүмкүн болгон жерди жылдырган. Бир платформада өзүнчө саясат зоналары дагы деле натыйжалуу болушу мүмкүн, жана алардын натыйжалуулугун аппарат жалпы деп четке кагуунун ордуна эрежелер боюнча баалоо керек.

Маанилүү эрежени кайсы түзмөк колдоноорун айта албасаңыз, токтоңуз. Ошол боштук — табылга, кийин чечилүүчү деталь эмес.

Бөлүү — чек ара, корпус эмес

Өзүнчө түзмөк компромиссти гана андан өткөн жол экинчи тарапка керектүү нерсе менен чектелгенде кармайт. Эгер эки түзмөк бири-биринен каалаган трафикти кабыл алса, бирине конгон чабуулчу мурункудай эле жетүү мүмкүнчүлүгүнө ээ. Бөлүү жөнүндөгү билдирүү эрежелер жыйындысына таандык, тизмеге эмес. Эрежелерди окуңуз, кайсы агымдарга уруксат берилгенин айтыңыз, андан кийин бөлүү бир нерсе сатып алдыбы, чечиңиз.

Ошол эле логика колдонуучуларга да тиешелүү. Келген тармагына байланыштуу ишенимдүү VPN колдонуучусу инсандыкка эмес, жайгашууга ишенет, жана NISTтин нөлдүк ишеним жетекчилиги альтернативаны сүрөттөйт: ар бир суроону ресурска карата аутентификациялоо жана авторизациялоо. Бул принцип туннелди кайсы корпус бүтүрсө да колдонулат.

Эгер бөлүү агымды өзгөртүү үчүн эмес, шайкештик сызыгын канааттандыруу үчүн болсо, аны жазууда айтыңыз. Эч ким түшүндүрө албаган көзөмөл басым астында биринчи алынат.

Чындап жете ала турганыңызды калыбына келтириңиз

Эки ролдун бири өлгөндө кайсы калыбына келтирүү жолу сакталарын сураңыз. Бузулган VPN шлюзуна жетүүнүн жалгыз жолу ошол шлюз аркылуу өтсө, башка жердеги камдык түзмөк аны оңдошу керек болгон администраторго жардам бербейт. Тилка сырткаркы жол, консоль жана документтелген кайтаруу — долбоорду калыбына келтирүүгө боло турган бөлүктөр.

systemctl status strongswan
nft list ruleset
ip -brief address

Долбоорду толук колдоого алынган жүккө өлчөңүз, обочолонгон шифрлоо санына эмес, анткени фильтрлөө жана текшерүү бирдей аппаратты сарптайт. Бөлүү тезирээк же жайыраак деп божомолдоонун ордуна өндүрүүчүнүн документтерин жана өз өлчөөлөрүңүздү колдонуңуз. Андан кийин чечим жазуусун жазыңыз: кайсы агымдарга уруксат берилген, кайсы көз карандылыктар жалпы, тейлөө терезеси эмнени түшүрөт, кандай сыйымдуулук далилдериңиз бар жана ар бир калыбына келтирүү кадамынын ээси ким. Бул жазуу карап чыгууга жетиштүү кыска жана кайра кайтууга жетиштүү так.

Runbook бузулуу келишими жазылганда, өткөрүү жолунда ар бир эреже үчүн бир аталган колдонуу чекити болгондо, бөлүү түзмөктөрдүн саны менен эмес, агымдар менен сүрөттөлгөндө жана калыбына келтирүү бузулган компоненттин сыртынан иштегенде бүтөт. Бул талаптарга жооп берген жөнөкөй жайгаштырууну тандаңыз.