एकत्रित की स्वतंत्र VPN गेटवे: अयशस्वी डोमेननुसार निवडा
उपकरणे मोजून काहीच शिकता येत नाही. एकत्र काय अयशस्वी होते, धोरण कुठे लागू होते आणि गेटवे बिघडल्यावर त्याच्यापर्यंत कसे पोहोचता ते लिहून ठेवा.
दोन उपकरणे एकापेक्षा अधिक टिकाऊ वाटतात, परंतु ती एकच पॉवर स्ट्रिप, एकच हायपरव्हायझर आणि एकच अपस्ट्रीम लिंक सामायिक करतात हे लक्षात येईपर्यंत. बॉक्स मोजणे अशा प्रश्नाचे उत्तर देते जो कोणी विचारला नाही; उपयुक्त प्रश्न असा आहे की एकाच वेळी काय अयशस्वी होते. प्रथम अयशस्वी करार लिहा, नंतर त्याला टोपोलॉजी निवडू द्या. खालील रनबुक तो नोंद तयार करते.
एका रीबूट दरम्यान काय थांबते
एकत्रित गेटवेसाठी, रीबूट, अयशस्वी अद्यतन किंवा हार्डवेअर दोषात काय नाहीसे होते ते सूचीबद्ध करा. जर इंटरनेट प्रवेश आणि खाजगी कनेक्टिव्हिटी दोन्ही थांबत असतील, तर तो सामायिक व्यत्यय आता तुमच्या उपलब्धता आवश्यकतेचा भाग आहे, कोणी लिहिले किंवा नाही याचा विचार न करता. तीच कसरत अनेक भूमिका पूर्ण करणाऱ्या एकाच उपकरणालाही लागू होते: ते खाली पाडणाऱ्या सेवांची यादी हीच खरी तपशीलवार रचना आहे.
स्वतंत्र गेटवेसाठी, काय सामायिक राहते ते सूचीबद्ध करा: वीज, व्हर्च्युअलायझेशन होस्ट, अपस्ट्रीम लिंक, ओळख पुरवठादार, व्यवस्थापन नेटवर्क. एका अयशस्वी स्विचमागील दोन उपकरणे दोन होस्टनावांसह एकच अयशस्वी डोमेन आहेत. या अवलंबनांकडे दुर्लक्ष करणारे विभाजन आराखडा आहे, रचना नाही.
देखभाल मालकीही मोजा. दुसरे उपकरण संरचना, देखरेख, बॅकअप आणि दुसरी पुनर्प्राप्ती प्रक्रिया आणते, आणि त्यातले काहीही मोफत नाही.
प्रत्येक नियम कुठे लागू होतो ते चिन्हांकित करा
क्लायंटपासून खाजगी संसाधनापर्यंत आणि परत एक पॅकेटचा मागोवा घ्या, आणि धोरण लागू होणाऱ्या प्रत्येक जागेवर खूण करा. दुसरा राउटर अशी आणखी एक जागा जोडतो जिथे मार्ग प्राधान्य, भाषांतर किंवा कनेक्शन स्थिती पहिल्याशी जुळत नाही. दोन-गेटवे रचनेतील बहुतेक गूढ अयशस्वीता त्या शिवणेवर राहतात.
ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443VPN संरक्षण कुठे संपते आणि अंतर्गत धोरण कुठे सुरू होते ते लिहा. जर दोन उपकरणांमधील मार्ग परवानगीपूर्ण असेल, तर दुसऱ्या बॉक्सने सीमा तयार केली नाही; त्याने फक्त सीमा असू शकणारी जागा हलवली. एकाच प्लॅटफॉर्मवर, वेगळे धोरण क्षेत्र अजूनही प्रभावी असू शकतात, आणि त्यांची प्रभावीता हार्डवेअर सामायिक असल्याने नाकारण्याऐवजी नियमांवरून मोजली पाहिजे.
महत्त्वाचा नियम कोणते उपकरण लागू करते हे सांगू शकत नसाल तर थांबा. तीच तफावत हा शोध आहे, नंतर ठरवायचा तपशील नाही.
नियंत्रण ही सीमा आहे, चेसिस नाही
स्वतंत्र उपकरण केवळ तेव्हाच तडजोड रोखते जेव्हा त्यातून जाणारा मार्ग दुसऱ्या बाजूला आवश्यक असलेल्यापुरता मर्यादित असतो. जर दोन्ही उपकरणे एकमेकांकडून कोणताही रहदारी स्वीकारतात, तर एकावर उतरणाऱ्या हल्लेखोराची पोहोच पूर्वीइतकीच राहते. नियंत्रणाचा दावा नियमसंचाचा आहे, यादीचा नाही. नियम वाचा, कोणते प्रवाह परवानगी आहेत ते सांगा, नंतर विभाजनाने काही खरेदी केले का ते ठरवा.
तीच तर्कशास्त्र वापरकर्त्यांनाही लागू होते. ज्या नेटवर्कवरून आला त्यामुळे विश्वासार्ह असलेला VPN वापरकर्ता ओळखीऐवजी स्थानावर विश्वास ठेवतो, आणि NIST चे शून्य-विश्वास मार्गदर्शन पर्याय सांगते: प्रत्येक विनंती संसाधनाच्या विरुद्ध प्रमाणित आणि अधिकृत करा. हे तत्त्व कोणतेही चेसिस टनेल पूर्ण करो, लागू आहे.
जर विभाजन प्रवाह बदलण्यासाठी नाही तर अनुपालन रेषा पूर्ण करण्यासाठी असेल, तर नोंदीत तसे लिहा. जे नियंत्रण कोणीही समजावून सांगू शकत नाही ते दबावाखाली पहिले काढले जाते.
ज्यापर्यंत खरोखर पोहोचू शकता ते पुनर्प्राप्त करा
दोन भूमिकांपैकी कोणतीही मेल्यावर कोणता पुनर्प्राप्ती मार्ग टिकतो ते विचारा. जेव्हा तुटलेल्या VPN गेटवेपर्यंत पोहोचण्याचा एकमेव मार्ग त्या गेटवेमधून जातो, तेव्हा दुसरीकडील अतिरिक्त उपकरण ते दुरुस्त करणाऱ्या प्रशासकाला मदत करत नाही. बँडबाहेरील मार्ग, कन्सोल आणि दस्तऐवजीकृत परतावा हे रचना पुनर्प्राप्य बनवणारे भाग आहेत.
systemctl status strongswan
nft list ruleset
ip -brief addressरचना संपूर्ण समर्थित कामाच्या भारासाठी मोजा, वेगळ्या एन्क्रिप्शन आकड्यासाठी नाही, कारण गाळणे आणि तपासणी तेच हार्डवेअर वापरतात. विभाजन वेगवान किंवा संथ आहे असे गृहीत धरण्याऐवजी विक्रेत्याची कागदपत्रे आणि स्वतःची मोजमापे वापरा. नंतर निर्णय नोंद लिहा: कोणते प्रवाह परवानगी आहेत, कोणती अवलंबने सामायिक आहेत, देखभाल खिडकी काय खाली पाडते, तुमच्याकडे कोणते क्षमता पुरावे आहेत आणि प्रत्येक पुनर्प्राप्ती पायरीचा मालक कोण आहे. ती नोंद पुनरावलोकनासाठी पुरेशी लहान आणि पुन्हा भेट देण्यासाठी पुरेशी विशिष्ट आहे.
रनबुक तेव्हा संपते जेव्हा अयशस्वी करार लिहिला जातो, फॉरवर्डिंग मार्गात प्रत्येक नियमासाठी एक नामनिर्देशित अंमलबजावणी बिंदू असतो, नियंत्रण उपकरण संख्येऐवजी प्रवाहांद्वारे वर्णन केले जाते, आणि पुनर्प्राप्ती अयशस्वी घटकाच्या बाहेरून कार्य करते. त्या आवश्यकता पूर्ण करणारी सोपी मांडणी निवडा.