Når IPsec faller ut, er en reserverute ikke en reserverpolitikk

Et sted mister tunnelen sin, og rutetabellen viser fortsatt en fullt brukbar vei til målet gjennom internett. Noen foreslår å svitsje over til den og kaller endringen en rutingsreparasjon. Pakken kunne gå den veien; spørsmålet ingen stilte, er om den har lov til å ankomme uten beskyttelse. Det er forskjellige svar fra forskjellige tabeller, og å blande dem er måten et avbrudd blir en hendelse.

To utfall som ser like ut i en rutetabell

Tilgjengelighet sier at en pakke har et sted å gå. En sikkerhetspolicy sier hva som må skje med den pakken underveis, og begge håndheves av forskjellige mekanismer. En rute kan finnes for en strøm som policyen er forpliktet til å forkaste, og den kombinasjonen er ikke feil konfigurasjon. Det er skillet mellom de to spørsmålene som gjør en avbruddsplan etterprøvbar i det hele tatt.

Så en avbruddsvei er først et design når noen har bestemt hvilket av de tillatte utfallene som gjelder. Inntil den beslutningen finnes, er reserveruten en fristelse og ikke en plan.

Policy-modellen har tre dommer, ikke to

IPsec-arkitekturen skiller mellom trafikk som må forkastes, trafikk som har lov til å omgå beskyttelse, og trafikk som må beskyttes. Det er tre forskjellige instruksjoner, og den midterste er et bevisst unntak, ikke en feilmodus. Det er å lese dem som et par som skaper det falske valget mellom en tunnel og en åpen vei.

En manglende assosiasjon forfremmer ikke stilltiende en beskyttelsesregel til en omgåelse. Policyen sier fortsatt beskytt, så pakken venter eller dør, og den atferden er kontrollen som virker som skrevet, ikke bevis for at policyen er ødelagt.

Skriv kravet for strømmen din som en av tre setninger: stopp til det finnes en beskyttet vei, bytt til en annen beskyttet vei, eller bruk en vei som er særskilt autorisert til å gå uten IPsec. Bare den tredje endrer sikkerhetskontrakten, og den trenger en eier som kan signere den. Den setningen går i endringsloggen, ikke i noens hukommelse. Vurdererne godkjenner den andre setningen og avviser den tredje, og begge beslutningene er rimelige når de er synlige.

En omgåelse er en kontrakt begge ender signerer

En alternativ vei trenger rutbare adresser, eksplisitt adgang der den ankommer, og en svarvei som virker i begge retninger. Private stedsadresser blir ikke tilgjengelige fordi en standardrute peker et sted.

Autentisering betyr like mye som adressering. Trafikk som hopper over tunnelen og ankommer en grense som forventer beskyttelse, blir avvist selv når den lander på riktig grensesnitt, så den mottakende policyen må bevisst godta den formen. Et unntak som den fjerne enden aldri har akseptert, er et avbrudd med ekstra trinn.

Å fjerne en selektor eller løsne et kart for å få reserven til å virke er ikke et kontrollert unntak. Det utvider hva som er unntatt, lar den fjerne enden håndheve noe annet, og kan endre hvilken oversettelsesregel som passer strømmen.

Oversettelse og adgang endrer regnestykket

Oversettelse kan vise en annen adressevisning, men frem- og tilbakekartleggingen må stemme med den alternative veien. En enveis kartlegging gir en forbindelse som åpnes og deretter henger. Halv kartlegging er verre enn ingen, fordi det ser ut som fremgang.

Adgang er den andre halvdelen. Den mottakende siden må ha en uttrykkelig regel for denne trafikken, sin egen logging, og en måte å skille et godkjent unntak fra en feil klokken tre om natten.

Gjenoppretting hører hjemme i designet

Noter hvordan feilen oppdages, hvilken policy som velger erstatningen, og hva som skjer med sesjoner som kjørte da det skjedde. En ny forbindelse kan lykkes etter overgangen, mens en eldre beholder tilstand bundet til en adresse som ikke lenger gjelder.

Foretrekk en annen beskyttet vei når kravet er vedvarende beskyttelse. Der et ubeskyttet unntak virkelig er nødvendig, avgrens det med kilder, mål, tjenester og en varighet, og skriv ned hvordan det trekkes tilbake.

Test begge tilstander, ikke bare avbruddet

Aksepten dekker tilfellet med den feilede tunnelen og det gjenopprettede, med en applikasjonskontroll på hvert. Det interessante resultatet er ikke at pakkene fortsatte å bevege seg, men at de bare beveget seg under kontrakten organisasjonen valgte.

Legg til tilbaketrekkingstesten også. Et unntak som ingen kan slå av, har stille blitt permanent policy, og det er nettopp det den opprinnelige regelen beskyttet mot. Sett en utløpsdato og en navngitt vurderer på det, ellers overlever unntaket alle som forstod det.