VPN-Inventar: virgesinn Zougang, generéiert Konfiguratioun, aktiv Sessiounen
En Tunnelnumm ass eng Observatioun, net en Déngschtregister. Verbannt de Locataire, déi ausgerullt Konfiguratioun an d'Comptabilitéitsbeweiser, ier Dir eppes ausser Betrib hëlt.
Jeden Tunnelnumm gesäit aus wéi eng Inventarszeil, bis Dir freet wiem en gehéiert. En Numm seet Iech, datt elo eppes verbonnen ass; en kann Iech net soen, wiem den Déngscht gehéiert, wat si erreeche kënnen, oder ob d'Konfiguratioun, déi den Tunnel erstallt huet, déi ass, déi Dir guttgeheescht hutt. Op Flottniveau sinn déi dräi Froen den Inventar, an den Tunnel ass just déi lescht Observatioun.
Een Déngscht, dräi Registers
Den ugezielten Déngscht ass dat, op wat de Locataire Usproch huet: Identitéiten, Präfixer, Ressourcen an e Liewezyklusstatus. Déi ausgerullt Konfiguratioun ass déi generéiert Politik, déi en ëmsetze soll. Déi observéiert Sessioun ass e Laufzäitbeweis, datt eppes sech verbonnen huet. Si als eng Tabell ze behandelen dréckt dräi verschidde Aarte vu Wourecht an eng Zeil, déi op dräi Manéieren zur selwechter Zäit falsch ass.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
Den prakteschen Test ass eng Fro, déi all Register eleng beäntwere kann. Freet wiem dëse Präfix gehéiert an d'Register vum ugezielten Déngscht äntwert. Freet wat fir eng Politik den Gateway huet an d'ausgerullt Register äntwert. Freet ob een et dës Woch benotzt huet an d'Sessiounsregister äntwert. Déi Kolonn, déi hir eege Fro net beäntwere kann, ass déi, déi fir d'éischt muss reparéiert ginn.
Registréiert de Locataire, net d'Interface
Gitt all Déngscht eng Identifikatioun, déi eng Rekonnexioun iwwersteet. Eng temporär Tunnelinterface oder eng Sessiounsnummer ännere sech aus Grënn, déi näischt mam Client ze dinn hunn, an en Inventar, deen op eng vun deenen ofgestëmmt ass, kritt all Kéier eng nei Zeil, wann eng Verbindung flackert. Stëmmt en amplaz op de Locataire an den Déngscht of, a befestegt duerno d'Observatiounen un deem Schlëssel.
D'Register brauch de verantwortlechen Locataire an den Operateur, déi akzeptéiert Peer- oder Benotzeridentitéit, eng Referenz op de Berechtegungsnoweis statt enger Kopie dovun, déi geschützt Präfixer, de Routingkontext, déi erlaabt Ressourcen an den ugezielte Liewezyklusstatus. Berechtegungsmaterial gehéiert an den ënnerstëtzten Secretspeicher; en Inventar, deen privat Schlësselen dréit, ass eng zweet, manner geschützt Kopie vum Bestand ginn.
Generéiert Konfiguratioun huet en Eegentemer an eng Versioun
Automatisatioun mécht dëst méi einfach a verstoppt et besser. En Generator, dee erfollegräich leeft, beweist, datt d'Schabloun gerendert gouf, net datt all Apparat mat der Ausgab iwwereneestëmmt. Een ännert iergendwann während engem Tëschefall en Gateway vun Hand, an déi Ännerung ass dat Wäertvollst, wat een erfaasse kann, well et déi eenzeg ass, déi keng spéider Ausféierung reproduzéiere wäert.
Hält fest, wéi eng Revisioun déi ausgerullt Politik erstallt huet, an behält direkt Ännerungen als en Ënnerscheed, deen ofgestëmmt muss ginn amplaz se stëll z'iwwerschreiwen. D'Ofstëmmung ass hei d'Produkt: den Erfolleg vum Generator an den tatsächlechen Zoustand vum Apparat sinn zwou Tatsaachen, déi verglach musse ginn, net als gläich ugeholl.
Sessiounen si Beweiser, keng Autorisatioun
Wou d'Ausrollung RADIUS-Comptabilitéit benotzt, gëtt RFC 2866 konkreet Felder fir d'Aarbecht. Acct-Status-Type ënnerscheet en Ufank vun engem Stop, an d'Registers, déi zu enger Sessioun gehéieren, deelen eng Acct-Session-Id. Déi Felder loossen Iech rekonstruéieren, wéini eng Sessioun ugefaangen an opgehalen huet, ouni enger Dashboardszesummefaassung ze vertrauen.
Eng Comptabilitéitsidentifikatioun ass e Laufzäitbeweis. Si bestëmmt net, wiem engem Locataire en Ënnersubnet gehéiert, a si gëtt keen Zougang zu eppes. Korreléiert se mam Gateway an der Déngschtidentitéit, a haalt duerno d'Sammelzäit nieft der Observatioun. En fehlende Bericht kann en Telemetriefeeler sinn an net en Ausbleiwe vun der Benotzung, an en ale Register ass kee Beweis, datt den Zougang elo nach aktiv ass.
D'Ausserbetribnahm benotzt déiselwecht Verknëppung
En Déngscht ewechhuelen heescht den ugezielten Zougang, d'Berechtegungsnoweiser an déi aktiv Sessiounen an där Reihenfolg, iwwer d'Eegentemer vun all eenzel, ewechzehuelen. Verifizéiert duerno, datt déi ofgelaf Konfiguratioun vun den Apparater fort ass an datt hir erlaabt Weeër net méi opgeléist ginn. E Client, dee lescht Quartal fortgaang ass, sollt net nach an enger Präfixlëscht stoen, well den Tunnelnumm geläscht gouf, d'Route awer net.
Näischt dovunner verlaangt een Apparat pro Funktioun oder e bestëmmt Automatisatiounsprodukt. D'operationell Ufuerderung ass méi schmuel a méi schwéier: e Client, säin ugezielten Zougang, déi ausgerullt Politik an déi aktuell Laufzäitbeweiser musse verknëppbar sinn, ouni sech op een seng Erënnerung un en Tunnelnumm ze verloossen. Baut fir d'éischt déi dräi Registers, a wielt duerno d'Instrumenter, déi se ënnerhalen.