संयुक्त वा छुट्टै VPN गेटवे: असफलता डोमेन अनुसार छान्नुहोस्

दुई उपकरण एकभन्दा बढी टिकाउ देखिन्छन्, जबसम्म तपाईंले तिनीहरूले एउटै पावर स्ट्रिप, एउटै हाइपरभाइजर र एउटै अपस्ट्रिम लिङ्क साझा गर्छन् भनी थाहा पाउनुहुन्न। बाकस गन्नाले कसैले नसोधेको प्रश्नको उत्तर दिन्छ; उपयोगी प्रश्न भनेको एउटै समयमा के असफल हुन्छ भन्ने हो। पहिले असफलता सम्झौता लेख्नुहोस्, त्यसपछि त्यसलाई टोपोलोजी छान्न दिनुहोस्। तलको रनबुकले त्यो अभिलेख उत्पादन गर्छ।

एक रिबुटमा के रोकिन्छ

संयुक्त गेटवेका लागि, रिबुट, असफल अपडेट वा हार्डवेयर खराबीमा के हराउँछ सूचीबद्ध गर्नुहोस्। यदि इन्टरनेट पहुँच र निजी जडान दुवै रोकिन्छन् भने, त्यो साझा अवरोध अब तपाईंको उपलब्धता आवश्यकताको भाग हो, कसैले लेख्यो वा लेखेन। त्यही अभ्यास एकै उपकरणमा पनि लागू हुन्छ जसले धेरै भूमिका अन्त्य गर्छ: यसले तल पार्ने सेवाहरूको सूची नै वास्तविक विशिष्टता हो।

छुट्टै गेटवेका लागि, के साझा रहन्छ सूचीबद्ध गर्नुहोस्: बिजुली, भर्चुअलाइजेसन होस्ट, अपस्ट्रिम लिङ्क, पहिचान प्रदायक, व्यवस्थापन सञ्जाल। एउटा असफल स्विचको पछाडि दुई उपकरणहरू दुई होस्टनाम भएको एउटै असफलता डोमेन हुन्। ती निर्भरताहरूलाई बेवास्ता गर्ने विभाजन रेखाचित्र हो, डिजाइन होइन।

मर्मतको स्वामित्व पनि गन्नुहोस्। अर्को उपकरणले कन्फिगरेसन, अनुगमन, ब्याकअप र दोस्रो रिकभरी प्रक्रिया ल्याउँछ, र तीमध्ये केही पनि निःशुल्क छैन।

प्रत्येक नियम कहाँ लागू हुन्छ चिन्ह लगाउनुहोस्

क्लाइन्टबाट निजी स्रोतसम्म र फर्केर एउटा प्याकेट पछ्याउनुहोस्, र नीति लागू हुने हरेक ठाउँमा चिन्ह लगाउनुहोस्। दोस्रो राउटरले अर्को बिन्दु थप्छ जहाँ मार्ग प्राथमिकता, अनुवाद वा जडान स्थिति पहिलोसँग नमिल्न सक्छ। दुई-गेटवे डिजाइनका धेरै रहस्यमय असफलताहरू त्यही सिउनीमा बस्छन्।

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

VPN सुरक्षा कहाँ सकिन्छ र आन्तरिक नीति कहाँ सुरु हुन्छ लेख्नुहोस्। यदि दुई उपकरणबीचको बाटो अनुमतिपूर्ण छ भने, दोस्रो बाकसले सीमा सिर्जना गरेन; यसले सीमा हुन सक्ने ठाउँ मात्र सार्यो। एउटै प्लेटफर्ममा, छुट्टै नीति क्षेत्रहरू अझै प्रभावकारी हुन सक्छन्, र तिनको प्रभावकारिता हार्डवेयर साझा भएको भन्दै अस्वीकार गर्नुको सट्टा नियमहरूबाट मूल्याङ्कन गर्नुपर्छ।

महत्त्वपूर्ण नियम कुन उपकरणले लागू गर्छ भन्न सक्नुहुन्न भने रोक्नुहोस्। त्यो खाडल नै खोज हो, पछि टुङ्ग्याउने विवरण होइन।

नियन्त्रण सीमा हो, चेसिस होइन

छुट्टै उपकरणले मात्र त्यतिबेला सम्झौता रोक्छ जब त्यसबाट जाने बाटो अर्को पक्षलाई आवश्यक कुरामा सीमित हुन्छ। यदि दुवै उपकरणले एकअर्काबाट कुनै पनि ट्राफिक स्वीकार गर्छन् भने, एउटामा अवतरण गर्ने आक्रमणकारीको पहुँच पहिलेजस्तै रहन्छ। नियन्त्रणको दाबी नियमसमूहको हो, सूचीको होइन। नियम पढ्नुहोस्, कुन प्रवाह अनुमत छन् भन्नुहोस्, त्यसपछि विभाजनले केही किन्यो कि भनेर निर्णय गर्नुहोस्।

त्यही तर्क प्रयोगकर्ताहरूलाई पनि लागू हुन्छ। जुन सञ्जालबाट आयो त्यसका कारण विश्वास गरिएको VPN प्रयोगकर्ताले पहिचानको सट्टा स्थानमा विश्वास गर्छ, र NIST को शून्य-विश्वास निर्देशिका विकल्प वर्णन गर्छ: हरेक अनुरोधलाई स्रोतको विरुद्ध प्रमाणित र अधिकृत गर्नुहोस्। त्यो सिद्धान्त कुनै पनि चेसिसले टनेल अन्त्य गरे पनि लागू हुन्छ।

यदि विभाजन प्रवाह परिवर्तन गर्न होइन तर अनुपालन रेखा पूरा गर्न छ भने, अभिलेखमा त्यो भन्नुहोस्। जो नियन्त्रण कसैले व्याख्या गर्न सक्दैन त्यही दबाबमा पहिले हटाइन्छ।

वास्तवमै पुग्न सक्ने कुरा रिकभर गर्नुहोस्

दुई भूमिकामध्ये कुनै पनि मर्दा कुन रिकभरी बाटो बाँच्छ भनी सोध्नुहोस्। जब बिग्रिएको VPN गेटवेमा पुग्ने एउटै बाटो त्यही गेटवेबाट जान्छ, अर्को ठाउँको अतिरिक्त उपकरणले त्यसलाई सुधार्नुपर्ने प्रशासकलाई मद्दत गर्दैन। ब्यान्डबाहिरको बाटो, कन्सोल र कागजातीय फिर्ती ती भागहरू हुन् जसले डिजाइनलाई रिकभरयोग्य बनाउँछन्।

systemctl status strongswan
nft list ruleset
ip -brief address

डिजाइनलाई पूर्ण समर्थित कार्यभारका लागि नाप्नुहोस्, अलग इन्क्रिप्शन सङ्ख्याका लागि होइन, किनभने फिल्टरिङ र निरीक्षणले उही हार्डवेयर खपत गर्छ। विभाजन छिटो वा ढिलो छ भनी मान्नुको सट्टा विक्रेताको कागजात र आफ्नै मापन प्रयोग गर्नुहोस्। त्यसपछि निर्णय अभिलेख लेख्नुहोस्: कुन प्रवाह अनुमत छन्, कुन निर्भरता साझा छन्, मर्मत विन्डोले के तल पार्छ, तपाईंसँग के क्षमता प्रमाण छन् र प्रत्येक रिकभरी चरणको मालिक को हो। त्यो अभिलेख समीक्षाका लागि पर्याप्त छोटो र फेरि भेट्नका लागि पर्याप्त विशिष्ट छ।

रनबुक तब सकिन्छ जब असफलता सम्झौता लेखिन्छ, फर्वार्डिङ बाटोमा प्रत्येक नियमका लागि एउटा नामित कार्यान्वयन बिन्दु हुन्छ, नियन्त्रण उपकरण संख्याको सट्टा प्रवाहद्वारा वर्णन गरिन्छ, र रिकभरी असफल घटकको बाहिरबाट काम गर्छ। ती आवश्यकता पूरा गर्ने सरल व्यवस्था छान्नुहोस्।