Sujungtas ar atskiras VPN šliuzas: rinkitės pagal gedimo domeną

Du įrenginiai atrodo atsparesni nei vienas, kol nepastebite, kad jie dalijasi tuo pačiu ilgintuvu, tuo pačiu hipervizoriumi ir ta pačia aukštutine jungtimi. Dėžių skaičiavimas atsako į klausimą, kurio niekas neuždavė; naudingas klausimas – kas sugenda tuo pačiu metu. Pirmiausia užrašykite gedimo sutartį, tada leiskite jai pasirinkti topologiją. Toliau pateiktas runbook sukuria tą įrašą.

Kas sustoja vieno perkrovimo metu

Sujungtam šliuzui išvardykite, kas išnyksta perkrovimo, nepavykusio atnaujinimo ar aparatinės įrangos gedimo metu. Jei interneto prieiga ir privatus ryšys sustoja kartu, ta bendra pertrauka dabar yra jūsų prieinamumo reikalavimo dalis, nesvarbu, ar kas nors ją užrašė. Ta pati praktika taikoma vienam įrenginiui, kuris užbaigia kelis vaidmenis: jo numetamų paslaugų sąrašas yra tikroji specifikacija.

Atskiriems šliuzams išvardykite, kas lieka bendra: energija, virtualizacijos pagrindinis kompiuteris, aukštutinė jungtis, tapatybės teikėjas, valdymo tinklas. Du įrenginiai už vieno sugedusio komutatoriaus yra vienas gedimo domenas su dviem pagrindinio kompiuterio vardais. Atskyrimas, kuris ignoruoja tas priklausomybes, yra diagrama, o ne projektas.

Suskaičiuokite ir priežiūros nuosavybę. Kitas įrenginys atneša konfigūraciją, stebėjimą, atsargines kopijas ir antrą atkūrimo procedūrą, ir nieko iš to nėra nemokama.

Pažymėkite, kur taikoma kiekviena taisyklė

Sekite vieną paketą nuo kliento iki privataus ištekliaus ir atgal, ir pažymėkite kiekvieną vietą, kur taikoma politika. Antrasis maršrutizatorius prideda dar vieną tašką, kur maršruto pirmenybė, vertimas ar ryšio būsena gali nesutapti su pirmuoju. Dauguma paslaptingų gedimų dviejų šliuzų projekte gyvena toje siūlėje.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Užrašykite, kur baigiasi VPN apsauga ir kur prasideda vidinė politika. Jei kelias tarp dviejų įrenginių yra leidžiantis, antroji dėžė nesukūrė ribos; ji tik perkėlė vietą, kur riba galėjo būti. Vienoje platformoje atskiros politikos zonos vis dar gali būti veiksmingos, ir jų veiksmingumą reikia vertinti pagal taisykles, o ne atmesti todėl, kad aparatinė įranga yra bendra.

Sustokite, jei negalite pasakyti, kuris įrenginys taiko svarbią taisyklę. Ta spraga yra išvada, o ne vėliau sprendžiama detalė.

Izoliavimas yra riba, o ne korpusas

Atskiras įrenginys sulaiko kompromisą tik tada, kai kelias per jį yra apribotas tuo, ko reikia kitai pusei. Jei abu įrenginiai priima bet kokį srautą vienas iš kito, užpuolikas, nusileidęs ant vieno, turi tokią pačią pasiekiamybę kaip anksčiau. Izoliavimo teiginys priklauso taisyklių rinkiniui, o ne inventoriui. Perskaitykite taisykles, pasakykite, kurie srautai leidžiami, tada nuspręskite, ar atskyrimas ką nors nupirko.

Ta pati logika galioja naudotojams. VPN naudotojas, kuriuo pasitikima dėl tinklo, iš kurio jis atėjo, pasitiki vieta, o ne tapatybe, ir NIST nulinio pasitikėjimo gairės aprašo alternatyvą: autentifikuoti ir autorizuoti kiekvieną užklausą pagal išteklių. Tas principas galioja, kad ir kuris korpusas užbaigia tunelį.

Jei atskyrimas egzistuoja tam, kad atitiktų atitikties liniją, o ne pakeistų srautą, pasakykite tai įraše. Kontrolė, kurios niekas negali paaiškinti, yra pirmoji, kuri pašalinama esant spaudimui.

Atkurkite tai, ką tikrai galite pasiekti

Paklauskite, kuris atkūrimo kelias išlieka, kai miršta bet kuris iš dviejų vaidmenų. Kai vienintelis kelias į sugedusį VPN šliuzą eina per tą šliuzą, atsarginis įrenginys kitur nepadeda administratoriui, kuris turi jį pataisyti. Užjuostis kelias, konsolė ir dokumentuotas grąžinimas yra dalys, kurios daro projektą atkuriamą.

systemctl status strongswan
nft list ruleset
ip -brief address

Matuokite projektą visai palaikomai darbo apkrovai, o ne izoliuotam šifravimo skaičiui, nes filtravimas ir tikrinimas naudoja tą pačią aparatinę įrangą. Naudokite tiekėjo dokumentaciją ir savo matavimus, o ne manykite, kad atskyrimas yra greitesnis ar lėtesnis. Tada parašykite sprendimo įrašą: kurie srautai leidžiami, kurios priklausomybės bendros, ką numeta priežiūros langas, kokius pajėgumo įrodymus turite ir kam priklauso kiekvienas atkūrimo žingsnis. Tas įrašas pakankamai trumpas peržiūrai ir pakankamai konkretus, kad galėtumėte prie jo grįžti.

Runbook baigiasi, kai gedimo sutartis užrašyta, perdavimo kelyje yra vienas pavadintas taikymo taškas kiekvienai taisyklei, izoliavimas aprašomas srautais, o ne įrenginių skaičiumi, ir atkūrimas veikia iš išorės sugedusio komponento. Pasirinkite paprastesnį išdėstymą, kuris atitinka tuos reikalavimus.