Нэгдсэн эсвэл тусдаа VPN гарц: алдааны домэйноор сонгоно уу

Хоёр төхөөрөмж нэгээс илүү бат бөх харагддаг, гэхдээ тэд ижил цахилгааны уртасгагч, ижил гипервизор, ижил дээд холбоосыг хуваалцдагийг анзаарах хүртэл. Хайрцаг тоолох нь хэн ч асуугаагүй асуултад хариулдаг; ашигтай асуулт бол нэгэн зэрэг юу алдагдах вэ. Эхлээд алдааны гэрээг бичээд, дараа нь топологийг түүнд сонгуул. Доорх runbook тэр бичлэгийг үүсгэдэг.

Нэг дахин ачаалах үед юу зогсдог

Нэгдсэн гарцын хувьд дахин ачаалах, бүтэлгүй шинэчлэл эсвэл техник хангамжийн гэмтлийн үед юу алга болохыг жагсаа. Хэрэв интернетийн хандалт болон хувийн холболт хамт зогсвол, тэр нийтлэг тасалдал нь таны хүртээмжийн шаардлагын нэг хэсэг болсон, хэн нэгэн бичсэн эсэхээс үл хамааран. Мөн адил дасгал олон үүрэг гүйцэтгэдэг нэг төхөөрөмжид хамаарна: түүний унагах үйлчилгээний жагсаалт нь бодит тодорхойлолт юм.

Тусдаа гарцуудын хувьд юу нийтлэг хэвээр байгааг жагсаа: цахилгаан, виртуалчлалын хост, дээд холбоос, таних тэмдгийн нийлүүлэгч, удирдлагын сүлжээ. Нэг эвдэрсэн коммутаторын ард байгаа хоёр төхөөрөмж хоёр хостын нэртэй нэг алдааны домэйн юм. Эдгээр хамаарлыг үл тоомсорлосон тусгаарлалт нь диаграм, дизайн биш.

Засварын эзэмшлийг ч тоол. Өөр төхөөрөмж нь тохиргоо, хяналт, нөөц хуулбар, хоёр дахь сэргээх журам авчирдаг бөгөөд эдгээрийн аль нь ч үнэгүй биш.

Дүрэм бүр хаана хэрэгждэг болохыг тэмдэглэ

Хэрэглэгчээс хувийн нөөц хүртэл болон буцах нэг пакетыг мөрдөж, бодлого хэрэгждэг бүх газрыг тэмдэглэ. Хоёр дахь чиглүүлэгч нь маршрутын давуу тал, орчуулга эсвэл холболтын төлөв эхнийхтэй санал нийлэхгүй байж болох өөр нэг цэг нэмдэг. Хоёр гарцын дизайн дахь хамгийн нууцлаг алдаанууд тэр оёдол дээр амьдардаг.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

VPN хамгаалалт хаана дуусаж, дотоод бодлого хаана эхлэхийг бич. Хэрэв хоёр төхөөрөмжийн хоорондох зам зөвшөөрөгч бол хоёр дахь хайрцаг хил хязгаар үүсгээгүй; хил байж болох газрыг л зөөсөн. Нэг платформ дээр тусдаа бодлогын бүсүүд оршин үр дүнтэй байж болох бөгөөд тэдгээрийн үр дүнтэй байдлыг техник хангамж нийтлэг гэсэн үндэслэлээр үгүйсгэхийн оронд дүрмээр үнэлэх ёстой.

Чухал дүрмийг аль төхөөрөмж хэрэгжүүлдэг гэж хэлж чадахгүй бол зогс. Тэр цоорхой бол олдвор, дараа шийдэх дэлгэрэнгүй биш.

Хязгаарлалт бол хил, бүрхүүл биш

Тусдаа төхөөрөмж нь зөвхөн түүгээр гарах зам нөгөө талд хэрэгтэй зүйлээр хязгаарлагдсан үед л зөрчлийг хязгаарладаг. Хэрэв хоёр төхөөрөмж бие биенээсээ ямар ч урсгал хүлээн авбал нэгэн дээр буусан халдлага үйлдэгч өмнөхтэй ижил хүрээтэй. Хязгаарлалтын мэдэгдэл нь дүрмийн багцад хамаарна, бүртгэлд биш. Дүрмүүдийг уншиж, ямар урсгалыг зөвшөөрснийг хэлээд, дараа нь тусгаарлалт ямар нэгэн зүйл худалдаж авсан эсэхийг шийд.

Мөн адил логик хэрэглэгчдэд хамаарна. Ирсэн сүлжээнийхээ улмаас итгэл хүлээсэн VPN хэрэглэгч таних тэмдгийн оронд байршилд итгэж байна, мөн NIST-ийн тэг итгэлийн удирдамж өөр хувилбарыг тайлбарладаг: хүсэлт бүрийг нөөцийн эсрэг баталгаажуулж, зөвшөөр. Энэ зарчим нь туннелийг аль бүрхүүл дуусгасан ч хүчинтэй.

Хэрэв тусгаарлалт нь урсгалыг өөрчлөх бус нийцлийн шугамыг хангахын тулд байгаа бол бичлэгт хэл. Хэн ч тайлбарлаж чадахгүй хяналт нь дарамтын дор хамгийн түрүүнд арилдаг.

Бодитоор хүрч чадах зүйлээ сэргээ

Хоёр үүргийн аль нэг нь үхэхэд ямар сэргээх зам үлдэхийг асуу. Эвдэрсэн VPN гарц руу хүрэх цорын ганц зам нь тэр гарцаар дамждаг бол өөр газар байгаа нөөц төхөөрөмж түүнийг засах шаардлагатай администраторт туслахгүй. Зурвасаас гадуурх зам, консол, баримтжуулсан буцаалт нь дизайныг сэргээх боломжтой болгодог хэсгүүд юм.

systemctl status strongswan
nft list ruleset
ip -brief address

Дизайныг бүрэн дэмжигдсэн ажлын ачаалалд хэмжиж, тусгаарлагдсан шифрлэлтийн тоонд бус, учир нь шүүлт ба шалгалт ижил техник хангамжийг зарцуулдаг. Тусгаарлалт хурдан эсвэл удаан гэж таамаглахын оронд нийлүүлэгчийн баримт бичиг, өөрийн хэмжилтийг ашигла. Дараа нь шийдвэрийн бичлэг бич: ямар урсгалыг зөвшөөрсөн, ямар хамаарал нийтлэг, засварын цонх юу унагах, ямар хүчин чадлын нотолгоо байгаа, сэргээх алхам бүрийн эзэн хэн. Тэр бичлэг хянахад хангалттай богино, дахин хандахад хангалттай тодорхой.

Runbook нь алдааны гэрээ бичигдэж, дамжуулах замд дүрэм бүрт нэг нэрлэсэн хэрэгжүүлэх цэг байж, хязгаарлалт төхөөрөмжийн тоогоор бус урсгалаар тодорхойлогдож, сэргээлт эвдэрсэн бүрэлдэхүүнээс гадна ажиллахад дуусдаг. Тэдгээр шаардлагыг хангасан илүү энгийн зохицуулалтыг сонго.