VPN uzskaite: paredzētā piekļuve, ģenerētā konfigurācija, aktīvas sesijas
Tuneļa nosaukums ir novērojums, nevis pakalpojuma ieraksts. Pirms kaut ko izņemat no lietošanas, savienojiet nomnieku, izvietoto konfigurāciju un uzskaites pierādījumus.
Katrs tuneļa nosaukums izskatās kā uzskaites rinda, līdz jūs pajautājat, kam tas pieder. Nosaukums jums saka, ka kaut kas šobrīd ir savienots; tas nevar pateikt, kam pieder pakalpojums, ko viņiem ir atļauts sasniegt vai vai konfigurācija, kas radīja tuneli, ir tā, kuru jūs apstiprinājāt. Flotes mērogā šie trīs jautājumi ir uzskaite, un tunelis ir tikai jaunākais novērojums.
Viens pakalpojums, trīs ieraksti
Paredzētais pakalpojums ir tas, uz ko nomniekam ir tiesības: identitātes, prefiksi, resursi un dzīves cikla stāvoklis. Izvietotā konfigurācija ir ģenerētā politika, kurai tas jāīsteno. Novērotā sesija ir izpildes laika pierādījums, ka kaut kas ir savienojies. Uzlūkojot tos kā vienu tabulu, trīs dažādi patiesības veidi tiek saspiesti vienā rindā, kas ir nepareiza trīs veidos vienlaikus.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
Praktiskais tests ir jautājums, uz kuru katrs ieraksts var atbildēt viens pats. Pajautājiet, kam pieder šis prefikss, un paredzētā pakalpojuma ieraksts atbild. Pajautājiet, kāda politika ir vārtejai, un izvietotais ieraksts atbild. Pajautājiet, vai kāds to izmantoja šonedēļ, un sesijas ieraksts atbild. Kolonna, kas nevar atbildēt uz savu jautājumu, ir tā, kas jālabo vispirms.
Ierakstiet nomnieku, nevis saskarni
Piešķiriet katram pakalpojumam identifikatoru, kas pārdzīvo atkārtotu savienojumu. Pagaidu tuneļa saskarne vai sesijas numurs mainās tādu iemeslu dēļ, kuriem nav nekāda sakara ar klientu, un uzskaite, kas balstīta uz kādu no tiem, iegūst jaunu rindu katru reizi, kad saite nodreb. Tā vietā balstiet to uz nomnieku un pakalpojumu, pēc tam pievienojiet novērojumus šai atslēgai.
Ierakstam nepieciešams atbildīgais nomnieks un operators, pieņemtā partnera vai lietotāja identitāte, atsauce uz akreditācijas datiem, nevis to kopija, aizsargātie prefiksi, maršrutēšanas konteksts, atļautie resursi un paredzētais dzīves cikla stāvoklis. Akreditācijas materiāli pieder atbalstītajai slepeno datu krātuvei; uzskaite, kas satur privātās atslēgas, ir kļuvusi par otru, sliktāk aizsargātu vides kopiju.
Ģenerētajai konfigurācijai ir īpašnieks un versija
Automatizācija to atvieglo un labāk paslēpj. Generatora veiksmīga darbība pierāda, ka veidne tika atveidota, nevis ka katra ierīce atbilst izvadei. Kāds incidenta laikā beigu beigās mainīs vārteju ar roku, un šīs izmaiņas ir visvērtīgākais, ko fiksēt, jo tās ir vienīgās, ko neviena vēlāka palaišana neatkārtos.
Ierakstiet, kura revīzija radīja izvietoto politiku, un saglabājiet tiešos labojumus kā starpību, kas jāsaskaņo tā vietā, lai tos klusi pārrakstītu. Saskaņošana šeit ir produkts: generatora panākumi un ierīces faktiskais stāvoklis ir divi fakti, kas jāsalīdzina, nevis jāpieņem kā vienādi.
Sesijas ir pierādījums, nevis atļauja
Kur izvietošana izmanto RADIUS uzskaiti, RFC 2866 dod konkrētus laukus darbam. Acct-Status-Type atšķir sākumu no apturēšanas, un vienai sesijai piederošie ieraksti dala Acct-Session-Id. Šie lauki ļauj rekonstruēt, kad sesija sākās un beidzās, nepaļaujoties uz informācijas paneļa kopsavilkumu.
Uzskaites identifikators ir izpildes laika pierādījums. Tas nenosaka, kuram nomniekam pieder apakštīkls, un tas nedod piekļuvi nekam. Korelējiet to ar vārteju un pakalpojuma identitāti, pēc tam turiet ievākšanas laiku blakus novērojumam. Trūkstošs ziņojums var būt telemetrijas kļūme, nevis lietošanas neesamība, un vecs ieraksts nav pierādījums, ka piekļuve joprojām ir aktīva tagad.
Izņemšana izmanto to pašu savienojumu
Pakalpojuma noņemšana nozīmē paredzētās piekļuves, akreditācijas datu un aktīvo sesiju noņemšanu šajā secībā, caur katra no tiem īpašniekiem. Pēc tam pārbaudiet, vai novecojusī konfigurācija ir pazudusi no ierīcēm un vai tās atļautie ceļi vairs netiek atrisināti. Klientam, kurš aizgāja pagājušajā ceturksnī, nevajadzētu joprojām parādīties prefiksu sarakstā tāpēc, ka tuneļa nosaukums tika dzēsts, bet maršruts ne.
Neviens no tā neprasa vienu ierīci vienai funkcijai vai konkrētu automatizācijas produktu. Operatīvā prasība ir šaurāka un grūtāka: klientam, tā paredzētajai piekļuvei, izvietotajai politikai un pašreizējiem izpildes laika pierādījumiem jābūt savienojamiem, nepaļaujoties uz kāda atmiņu par tuneļa nosaukumu. Vispirms izveidojiet trīs ierakstus, pēc tam izvēlieties rīkus, kas tos uztur.