Gerbang VPN gabungan atau berasingan: pilih mengikut domain kegagalan

Dua peranti kelihatan lebih tahan lasak daripada satu sehingga anda perasan ia berkongsi jalur kuasa yang sama, hypervisor yang sama dan pautan huluan yang sama. Mengira kotak menjawab soalan yang tiada siapa tanya; soalan berguna ialah apa yang gagal pada masa yang sama. Tulis kontrak kegagalan dahulu, kemudian biarkan ia memilih topologi. Runbook di bawah menghasilkan rekod itu.

Apa yang berhenti semasa satu but semula

Untuk gerbang gabungan, senaraikan apa yang hilang semasa but semula, kemas kini gagal atau kerosakan perkakasan. Jika akses internet dan konektiviti peribadi berhenti bersama, gangguan bersama itu kini sebahagian daripada keperluan ketersediaan anda, sama ada seseorang menulisnya atau tidak. Latihan yang sama terpakai pada satu peranti yang menamatkan beberapa peranan: senarai perkhidmatan yang diturunkannya ialah spesifikasi sebenar.

Untuk gerbang berasingan, senaraikan apa yang kekal dikongsi: kuasa, hos virtualisasi, pautan huluan, pembekal identiti, rangkaian pengurusan. Dua peranti di belakang satu suis yang gagal ialah satu domain kegagalan dengan dua nama hos. Pemisahan yang mengabaikan kebergantungan itu ialah gambar rajah, bukan reka bentuk.

Kira juga pemilikan penyelenggaraan. Peranti lain membawa konfigurasi, pemantauan, sandaran dan prosedur pemulihan kedua, dan tiada satu pun daripadanya percuma.

Tandakan di mana setiap peraturan dikuatkuasakan

Jejaki satu paket dari klien ke sumber peribadi dan kembali, dan tandakan setiap tempat dasar digunakan. Penghala kedua menambah satu lagi titik di mana keutamaan laluan, terjemahan atau keadaan sambungan boleh tidak bersetuju dengan yang pertama. Kebanyakan kegagalan misteri dalam reka bentuk dua gerbang tinggal pada jahitan itu.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Tuliskan di mana perlindungan VPN berakhir dan di mana dasar dalaman bermula. Jika laluan antara dua peranti itu permisif, kotak kedua tidak mencipta sempadan; ia hanya mengalihkan tempat di mana sempadan boleh berada. Pada satu platform, zon dasar berasingan masih boleh berkesan, dan keberkesanannya harus dinilai daripada peraturan dan bukannya ditolak kerana perkakasan dikongsi.

Berhenti jika anda tidak dapat menyatakan peranti mana yang menguatkuasakan peraturan penting itu. Jurang itu ialah penemuan, bukan butiran yang akan diselesaikan kemudian.

Pengekangan ialah sempadan, bukan casis

Peranti berasingan mengekang kompromi hanya apabila laluan melaluinya terhad kepada apa yang diperlukan oleh pihak lain. Jika kedua-dua peranti menerima sebarang trafik daripada satu sama lain, penyerang yang mendarat pada satu mempunyai jangkauan yang sama seperti sebelum ini. Dakwaan pengekangan adalah milik set peraturan, bukan inventori. Baca peraturan, nyatakan aliran mana yang dibenarkan, kemudian putuskan sama ada pemisahan itu membeli apa-apa.

Logik yang sama terpakai kepada pengguna. Pengguna VPN yang dipercayai kerana rangkaian dari mana ia datang mempercayai lokasi dan bukan identiti, dan panduan kepercayaan sifar NIST menerangkan alternatifnya: sahkan dan benarkan setiap permintaan terhadap sumber. Prinsip itu kekal walau apa pun casis yang menamatkan terowong.

Jika pemisahan itu wujud untuk memenuhi garis pematuhan dan bukan untuk mengubah aliran, nyatakan dalam rekod. Kawalan yang tiada siapa dapat jelaskan ialah yang pertama dibuang di bawah tekanan.

Pulihkan apa yang benar-benar boleh anda capai

Tanya laluan pemulihan mana yang bertahan apabila mana-mana peranan mati. Apabila satu-satunya cara untuk mencapai gerbang VPN yang rosak melalui gerbang itu, peranti ganti di tempat lain tidak membantu pentadbir yang perlu membaikinya. Laluan luar jalur, konsol dan pengembalian terdokumen ialah bahagian yang menjadikan reka bentuk boleh dipulihkan.

systemctl status strongswan
nft list ruleset
ip -brief address

Saiz reka bentuk untuk beban kerja yang disokong sepenuhnya dan bukan untuk nombor penyulitan terpencil, kerana penapisan dan pemeriksaan menggunakan perkakasan yang sama. Gunakan dokumentasi vendor dan ukuran anda sendiri daripada menganggap pemisahan lebih cepat atau lebih perlahan. Kemudian tulis rekod keputusan: aliran mana yang dibenarkan, kebergantungan mana yang dikongsi, apa yang diturunkan oleh tetingkap penyelenggaraan, bukti kapasiti apa yang anda ada dan siapa pemilik setiap langkah pemulihan. Rekod itu cukup pendek untuk disemak dan cukup khusus untuk dikunjungi semula.

Runbook berakhir apabila kontrak kegagalan ditulis, laluan pemajuan mempunyai satu titik penguatkuasaan bernama setiap peraturan, pengekangan diterangkan dengan aliran dan bukan bilangan peranti, dan pemulihan berfungsi dari luar komponen yang gagal. Pilih susunan yang lebih mudah yang memenuhi keperluan itu.