VPN-inventar: tiltenkt tilgang, generert konfigurasjon, levende økter
Et tunnelnavn er en observasjon, ikke en tjenestepost. Koble leietakeren, den utrullede konfigurasjonen og regnskapsbeviset sammen før du trekker noe tilbake.
Hvert tunnelnavn ser ut som en inventarrad til du spør hvem som eier det. Et navn forteller deg at noe er tilkoblet akkurat nå; det kan ikke fortelle deg hvem tjenesten tilhører, hva de har lov til å nå, eller om konfigurasjonen som lagde tunnelen er den du godkjente. I flåteskala er de tre spørsmålene inventaret, og tunnelen er bare den nyeste observasjonen.
Én tjeneste, tre poster
Den tiltenkte tjenesten er det leietakeren har krav på: identiteter, prefikser, ressurser og en livssyklustilstand. Den utrullede konfigurasjonen er den genererte policyen som skal realisere den. Den observerte økten er kjøretidsbevis på at noe koblet seg til. Å behandle dem som én tabell presser tre ulike typer sannhet inn i én rad som er feil på tre måter samtidig.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
Den praktiske prøven er et spørsmål hver post kan svare på alene. Spør hvem som eier dette prefikset, og posten for den tiltenkte tjenesten svarer. Spør hvilken policy gatewayen har, og den utrullede posten svarer. Spør om noen brukte den denne uken, og øktposten svarer. Kolonnen som ikke kan svare på sitt eget spørsmål, er den som skal rettes først.
Registrer leietakeren, ikke grensesnittet
Gi hver tjeneste en identifikator som overlever en gjentilkobling. Et midlertidig tunellgrensesnitt eller øktnummer endres av grunner som ikke har noe med kunden å gjøre, og et inventar nøklet på en av dem får en ny rad hver gang en lenke blafrer. Nøkle det på leietakeren og tjenesten i stedet, og fest deretter observasjoner til den nøkkelen.
Posten trenger den ansvarlige leietakeren og operatøren, den aksepterte peer- eller brukeridentiteten, en referanse til legitimasjonen i stedet for en kopi av den, de beskyttede prefiksene, rutekonteksten, de tillatte ressursene og den tiltenkte livssyklustilstanden. Legitimasjonsmateriale hører hjemme i det støttede hemmelighetslageret; et inventar som bærer private nøkler har blitt en andre, dårligere beskyttet kopi av miljøet.
Generert konfigurasjon har en eier og en versjon
Automatisering gjør dette lettere og skjuler det bedre. En generator som kjører vellykket, beviser at malen ble rendret, ikke at hver enhet samsvarer med utdataene. Noen vil før eller siden endre en gateway for hånd under en hendelse, og den endringen er det mest verdifulle å fange, fordi det er den eneste ingen senere kjøring vil gjenskape.
Registrer hvilken revisjon som lagde den utrullede policyen, og bevar direkte endringer som en forskjell som må avstemmes i stedet for å overskrive dem i det stille. Avstemmingen er produktet her: generatorens suksess og enhetens faktiske tilstand er to fakta som må sammenlignes, ikke antas like.
Økter er bevis, ikke autorisasjon
Der utrullingen bruker RADIUS-regnskap, gir RFC 2866 konkrete felt å arbeide med. Acct-Status-Type skiller en start fra en stopp, og postene som tilhører én økt deler en Acct-Session-Id. De feltene lar deg rekonstruere når en økt begynte og sluttet, uten å stole på sammendraget i et dashbord.
En regnskapsidentifikator er kjøretidsbevis. Den definerer ikke hvilken leietaker som eier et subnett, og den gir ikke tilgang til noe. Korrelér den med gatewayen og tjenesteidentiteten, og hold deretter innsamlingstiden ved siden av observasjonen. En manglende rapport kan være en telemetrifeil snarere enn fravær av bruk, og en gammel post er ikke bevis for at tilgangen fortsatt er aktiv nå.
Nedleggelse bruker samme kobling
Å fjerne en tjeneste betyr å fjerne den tiltenkte tilgangen, legitimasjonen og de levende øktene, i den rekkefølgen, gjennom eierne av hver av dem. Kontroller deretter at den foreldede konfigurasjonen er borte fra enhetene og at de tillatte banene ikke lenger løses opp. En kunde som sluttet i forrige kvartal, bør ikke fortsatt stå i en prefiksliste fordi tunnelnavnet ble slettet, men ruten ikke.
Ingenting av dette krever én enhet per funksjon eller et bestemt automatiseringsprodukt. Det operasjonelle kravet er smalere og vanskeligere: en kunde, dens tiltenkte tilgang, den utrullede policyen og gjeldende kjøretidsbevis må kunne kobles sammen uten å hvile på noens minne om et tunnelnavn. Bygg de tre postene først, og velg deretter verktøyene som vedlikeholder dem.