Gateway VPN magħqud jew separat: agħżel skont id-dominju tal-falliment

Żewġ apparati jidhru aktar reżiljenti minn wieħed sakemm tinnota li jaqsmu l-istess strixxa tal-enerġija, l-istess hypervisor u l-istess konnessjoni 'l fuq. L-għadd ta' kaxxi jwieġeb mistoqsija li ħadd ma staqsa; il-mistoqsija utli hija x'jitlef fl-istess ħin. Ikteb l-ewwel il-kuntratt tal-falliment, imbagħad ħallih jagħżel it-topoloġija. Ir-runbook hawn taħt jipproduċi dak ir-rekord.

X'jieqaf waqt restart wieħed

Għal gateway magħqud, elenka x'jisparixxi waqt restart, aġġornament fallut jew ħsara fl-apparat. Jekk l-aċċess għall-internet u l-konnettività privata jieqfu flimkien, dak it-tfixkil maqsum issa huwa parti mir-rekwiżit tal-disponibbiltà tiegħek, kemm jekk xi ħadd kiteb dan u kemm jekk le. L-istess eżerċizzju japplika għal apparat wieħed li jtemm diversi rwoli: il-lista tas-servizzi li jġib 'l isfel hija l-ispeċifikazzjoni vera.

Għal gateways separati, elenka x'jibqa' maqsum: enerġija, il-host tal-virtualizzazzjoni, il-konnessjoni 'l fuq, il-fornitur tal-identità, in-netwerk tal-ġestjoni. Żewġ apparati wara switch wieħed fallut huma dominju tal-falliment wieħed b'żewġ ismijiet ta' host. Separazzjoni li tinjora dawk id-dipendenzi hija dijagramma, mhux disinn.

Għodd ukoll is-sjieda tal-manutenzjoni. Apparat ieħor iġib konfigurazzjoni, monitoraġġ, backups u t-tieni proċedura ta' rkupru, u xejn minn dan mhu b'xejn.

Immarka fejn tiġi infurzata kull regola

Segwi pakkett wieħed mill-klijent għal riżorsa privata u lura, u mmarka kull post fejn tiġi applikata politika. Tieni router iżid punt ieħor fejn il-preferenza tar-rotta, it-traduzzjoni jew l-istat tal-konnessjoni jistgħu ma jaqblux mal-ewwel wieħed. Il-maġġoranza tal-fallimenti misterjużi fi disinn b'żewġ gateways jgħixu fuq dik il-ħjata.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Ikteb fejn tispiċċa l-protezzjoni VPN u fejn tibda l-politika interna. Jekk it-triq bejn iż-żewġ apparati hija permissiva, it-tieni kaxxa ma ħolqotx fruntiera; hi biss ċaqalqet il-post fejn fruntiera setgħet kienet. Fuq pjattaforma waħda, żoni tal-politika distinti xorta jistgħu jkunu effettivi, u l-effettività tagħhom għandha tiġi evalwata mir-regoli minflok ma tiġi miċħuda għax l-apparat huwa maqsum.

Ieqaf jekk ma tistax tgħid liema apparat jinfurza r-regola li hija importanti. Dak il-vojt huwa s-sejba, mhux dettall li jiġi riżolt aktar tard.

Il-konteniment hija fruntiera, mhux chassis

Apparat separat jikkontjeni kompromess biss meta t-triq minnu tkun ristretta għal dak li jeħtieġ in-naħa l-oħra. Jekk iż-żewġ apparati jaċċettaw kwalunkwe traffiku minn xulxin, attakkant li jinżel fuq wieħed għandu l-istess firxa barra bħal qabel. L-istqarrija tal-konteniment tappartjeni lis-sett ta' regoli, mhux lill-inventarju. Aqra r-regoli, għid liema flussi huma permessi, imbagħad iddeċiedi jekk is-separazzjoni xtratx xi ħaġa.

L-istess loġika tapplika għall-utenti. Utent VPN li jingħata fiduċja minħabba n-netwerk li wasal minnu qed jafda l-post minflok l-identità, u il-linji gwida ta' NIST dwar fiduċja żero jiddeskrivu l-alternattiva: awtentika u awtorizza kull talba kontra r-riżorsa. Dak il-prinċipju jżomm kwalunkwe chassis li jtemm it-tunnel.

Jekk is-separazzjoni teżisti biex tissodisfa linja ta' konformità minflok ma tibdel fluss, għid hekk fir-rekord. Kontroll li ħadd ma jista' jispjega huwa l-ewwel wieħed li jitneħħa taħt pressjoni.

Irkupra dak li tista' tattwalment tilħaq

Staqsi liema triq tal-irkupru tibqa' ħajja meta wieħed miż-żewġ rwoli jmut. Meta l-unika triq biex tasal għal gateway VPN miksur tgħaddi minn dak il-gateway, apparat żejjed x'imkien ieħor ma jgħinx lill-amministratur li jrid isewwih. Triq barra l-medda, console u rkupru dokumentat huma l-partijiet li jagħmlu d-disinn irkuprat.

systemctl status strongswan
nft list ruleset
ip -brief address

Qis id-disinn għall-piż tax-xogħol sħiħ appoġġjat u mhux għal numru ta' encryption iżolat, għax il-filtrazzjoni u l-ispezzjoni jikkunsmaw l-istess apparat. Uża d-dokumentazzjoni tal-fornitur u l-kejl tiegħek stess minflok ma tassumi li s-separazzjoni hija aktar mgħaġġla jew aktar bil-mod. Imbagħad ikteb ir-rekord tad-deċiżjoni: liema flussi huma permessi, liema dipendenzi huma maqsuma, x'jġib 'l isfel tieqa tal-manutenzjoni, liema provi tal-kapaċità għandek u min jippossjedi kull pass tal-irkupru. Dak ir-rekord huwa qasir biżżejjed biex jiġi rivedut u speċifiku biżżejjed biex jerġa' jintlaħaq.

Ir-runbook jispiċċa meta l-kuntratt tal-falliment ikun miktub, it-triq tal-ħruġ ikollha punt ta' infurzar wieħed imsemmi għal kull regola, il-konteniment jiġi deskritt bil-flussi u mhux bl-għadd ta' apparati, u l-irkupru jaħdem minn barra l-komponent fallut. Agħżel l-arranġament aktar sempliċi li jissodisfa dawk ir-rekwiżiti.