VPN попис: предвидениот пристап, генерираната конфигурација, живите сесии
Името на тунелот е набљудување, а не запис за услуга. Поврзете го закупецот, распоредената конфигурација и сметководствените докази пред да повлечете нешто.
Секое име на тунел изгледа како ред во пописот се додека не прашате чие е. Името ви кажува дека нешто е поврзано во моментов; не може да ви каже чија е услугата, што им е дозволено да достигнат или дали конфигурацијата што го создаде тунелот е таа што ја одобривте. Во размерите на флота, тие три прашања се пописот, а тунелот е само најновото набљудување.
Една услуга, три записи
Предвидената услуга е она на што закупецот има право: идентитети, префикси, ресурси и состојба на животниот циклус. Распоредената конфигурација е генерираната политика што треба да ја реализира. Набљудуваната сесија е доказ од време на извршување дека нешто се поврзало. Третирањето на сите како една табела ги собира три различни вида вистина во еден ред што е погрешен на три начини истовремено.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
Практичниот тест е прашање на кое секој запис може да одговори сам. Прашајте чиј е овој префикс и записот за предвидената услуга одговара. Прашајте која политика ја држи портата и распоредениот запис одговара. Прашајте дали некој го користел оваа недела и записот за сесија одговара. Колоната што не може да одговори на сопственото прашање е онаа што треба прво да се поправи.
Запишете го закупецот, не интерфејсот
Дајте ѝ на секоја услуга идентификатор што преживува повторно поврзување. Привремениот интерфејс на тунелот или бројот на сесијата се менуваат од причини што немаат никаква врска со клиентот, а пописот заснован на еден од нив добива нов ред секој пат кога врската ќе затрепери. Засновајте го на закупецот и услугата наместо тоа, потоа прикачете ги набљудувањата на тој клуч.
Записот бара одговорен закупец и оператор, прифатен идентитет на партнер или корисник, упатување на акредитацијата наместо нејзина копија, заштитените префикси, контекстот на насочување, дозволените ресурси и предвидената состојба на животниот циклус. Материјалот за акредитација припаѓа во поддржаното складиште за тајни; пописот што носи приватни клучеви стана втор, послабо заштитен примерок од околината.
Генерираната конфигурација има сопственик и верзија
Автоматизацијата го олеснува ова и подобро го крие. Генератор што работи успешно докажува дека шаблонот е изрендериран, а не дека секој уред одговара на излезот. Некој на крајот рачно ќе смени порта за време на инцидент, а таа промена е највредното нешто што треба да се фати, бидејќи е единствената што ниту едно подоцнежно извршување нема да ја репродуцира.
Запишете која ревизија ја создаде распоредената политика, и зачувајте ги директните измени како разлика што треба да се усогласи наместо тивко да ги препишете. Усогласувањето е производот овде: успехот на генераторот и вистинската состојба на уредот се два факти што треба да се споредат, а не да се земат за еднакви.
Сесиите се доказ, а не овластување
Каде распоредувањето користи RADIUS сметководство, RFC 2866 дава конкретни полиња за работа. Acct-Status-Type разликува почеток од запирање, а записите што припаѓаат на една сесија делат Acct-Session-Id. Тие полиња ви овозможуваат да реконструирате кога сесијата почнала и завршила без доверба во резимето на контролната табла.
Идентификаторот за сметководство е доказ од време на извршување. Тој не определува кој закупец поседува подмрежа и не дава пристап до ништо. Поврзете го со портата и идентитетот на услугата, потоа држете го времето на собирање до набљудувањето. Извештајот што недостасува може да биде дефект во телеметријата, а не отсуство на користење, а стариот запис не е доказ дека пристапот се уште е активен сега.
Повлекувањето го користи истото поврзување
Отстранувањето на услуга значи отстранување на предвидениот пристап, акредитациите и живите сесии, по тој редослед, преку сопствениците на секој од нив. Потоа проверете дека застарената конфигурација исчезнала од уредите и дека нејзините дозволени патеки повеќе не се решаваат. Клиентот што замина минатиот квартал не треба се уште да се појавува на списокот со префикси затоа што името на тунелот е избришано, а рутата не.
Ништо од ова не бара еден уред по функција или одреден производ за автоматизација. Оперативното барање е потесно и потешко: клиентот, неговиот предвиден пристап, распоредената политика и тековните докази од време на извршување мора да бидат поврзливи без потпирање на нечие сеќавање на име на тунел. Прво изградете ги трите записи, потоа изберете ги алатките што ги одржуваат.