VPN inventorius: numatoma prieiga, sugeneruota konfigūracija, gyvos sesijos
Tunelio pavadinimas yra stebėjimas, o ne paslaugos įrašas. Sujunkite nuomininką, įdiegtą konfigūraciją ir apskaitos įrodymus prieš ką nors išimdami.
Kiekvienas tunelio pavadinimas atrodo kaip inventoriaus eilutė, kol nepaklausiate, kam jis priklauso. Pavadinimas pasako, kad kažkas šiuo metu yra prijungta; jis negali pasakyti, kam priklauso paslauga, ką jiems leidžiama pasiekti arba ar konfigūracija, kuri sukūrė tunelį, yra ta, kurią patvirtinote. Laivyno mastu tie trys klausimai ir yra inventorius, o tunelis tėra naujausias stebėjimas.
Viena paslauga, trys įrašai
Numatoma paslauga yra tai, ko nuomininkas turi teisę: tapatybės, prefiksai, ištekliai ir gyvavimo ciklo būsena. Įdiegta konfigūracija yra sugeneruota politika, kuri turėtų tai įgyvendinti. Stebėta sesija yra vykdymo laiko įrodymas, kad kažkas prisijungė. Traktuojant juos kaip vieną lentelę, trys skirtingos tiesos rūšys suspaudžiamos į vieną eilutę, kuri klaidinga trimis būdais vienu metu.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
Praktinis bandymas yra klausimas, į kurį kiekvienas įrašas gali atsakyti pats. Paklauskite, kam priklauso šis prefiksas, ir numatomos paslaugos įrašas atsako. Paklauskite, kokią politiką turi tarpinė, ir įdiegtas įrašas atsako. Paklauskite, ar kas nors ja naudojosi šią savaitę, ir sesijos įrašas atsako. Stulpelis, kuris negali atsakyti į savo paties klausimą, yra tas, kurį reikia taisyti pirmiausia.
Užrašykite nuomininką, o ne sąsają
Suteikite kiekvienai paslaugai identifikatorių, kuris išlieka po prisijungimo iš naujo. Laikinoji tunelio sąsaja ar sesijos numeris keičiasi dėl priežasčių, neturinčių nieko bendra su klientu, o inventorius, pagrįstas vienu iš jų, kiekvieną kartą, kai ryšys sumirga, gauna naują eilutę. Vietoj to remkitės nuomininku ir paslauga, tada prisekite stebėjimus prie to rakto.
Įrašui reikia atsakingo nuomininko ir operatoriaus, priimtos partnerio ar naudotojo tapatybės, nuorodos į kredencialą, o ne jo kopijos, apsaugotų prefiksų, maršrutizavimo konteksto, leidžiamų išteklių ir numatomos gyvavimo ciklo būsenos. Kredencialų medžiaga priklauso palaikomai slaptųjų duomenų saugyklai; inventorius, kuriame yra privatūs raktai, tapo antrąja, prasčiau apsaugota aplinkos kopija.
Sugeneruota konfigūracija turi savininką ir versiją
Automatizavimas tai palengvina ir geriau paslepia. Sėkmingai veikiantis generatorius įrodo, kad šablonas buvo atvaizduotas, o ne kad kiekvienas įrenginys atitinka išvestį. Kažkas incidento metu galiausiai pakeis tarpinę rankiniu būdu, ir tas pakeitimas yra vertingiausias dalykas, kurį reikia užfiksuoti, nes jo neatskurs nė vienas vėlesnis paleidimas.
Užrašykite, kuri revizija sukūrė įdiegtą politiką, ir išsaugokite tiesioginius pakeitimus kaip skirtumą, kurį reikia suderinti užuot juos tyliai perrašę. Suderinimas čia ir yra produktas: generatoriaus sėkmė ir tikroji įrenginio būsena yra du faktai, kuriuos reikia palyginti, o ne laikyti lygiais.
Sesijos yra įrodymas, o ne leidimas
Kai diegimas naudoja RADIUS apskaitą, RFC 2866 pateikia konkrečius laukus darbui. Acct-Status-Type atskiria pradžią nuo sustabdymo, o vienai sesijai priklausantys įrašai dalijasi Acct-Session-Id. Tie laukai leidžia atkurti, kada sesija prasidėjo ir baigėsi, nepasitikint prietaisų skydelio suvestine.
Apskaitos identifikatorius yra vykdymo laiko įrodymas. Jis neapibrėžia, kuriam nuomininkui priklauso potinklis, ir nesuteikia prieigos prie nieko. Susiekite jį su tarpine ir paslaugos tapatybe, o tada laikykite surinkimo laiką šalia stebėjimo. Trūkstama ataskaita gali būti telemetrijos gedimas, o ne naudojimosi nebuvimas, ir senas įrašas neįrodo, kad prieiga dabar vis dar aktyvi.
Išėmimas naudoja tą patį sujungimą
Pašalinti paslaugą reiškia pašalinti numatomą prieigą, kredencialus ir gyvas sesijas ta tvarka, per kiekvieno jų savininkus. Tada patikrinkite, ar pasenusi konfigūracija dingo iš įrenginių ir ar jos leidžiami keliai nebeišsprendžiami. Klientas, kuris išėjo praėjusį ketvirtį, neturėtų likti prefiksų sąraše todėl, kad tunelio pavadinimas buvo ištrintas, o maršrutas ne.
Niekas iš to nereikalauja vieno įrenginio vienai funkcijai ar konkretaus automatizavimo produkto. Operacinis reikalavimas yra siauresnis ir sunkesnis: klientas, jo numatoma prieiga, įdiegta politika ir dabartiniai vykdymo laiko įrodymai turi būti sujungiami nepasikliaujant kieno nors atmintimi apie tunelio pavadinimą. Pirmiausia sukurkite tris įrašus, tada pasirinkite įrankius, kurie juos prižiūri.