Gecombineerde of aparte VPN-gateway: kies op faaldomein

Twee apparaten lijken veerkrachtiger dan één tot je merkt dat ze dezelfde stekkerdoos, dezelfde hypervisor en dezelfde uplink delen. Dozen tellen beantwoordt een vraag die niemand stelde; de nuttige vraag is wat tegelijk uitvalt. Schrijf eerst het faalcontract op en laat het dan de topologie kiezen. De runbook hieronder levert dat record.

Wat stopt tijdens één herstart

Voor een gecombineerde gateway: som op wat verdwijnt tijdens een herstart, een mislukte update of een hardwarefout. Als internettoegang en privéconnectiviteit samen stoppen, is die gedeelde onderbreking nu deel van je beschikbaarheidseis, of iemand het nu heeft opgeschreven of niet. Dezelfde oefening geldt voor één apparaat dat meerdere rollen beëindigt: de lijst diensten die het neerhaalt is de echte specificatie.

Voor aparte gateways: som op wat gedeeld blijft: stroom, de virtualisatiehost, de uplink, de identiteitsprovider, het beheernetwerk. Twee apparaten achter één uitgevallen switch zijn één faaldomein met twee hostnamen. Scheiding die die afhankelijkheden negeert is een diagram, geen ontwerp.

Tel ook het onderhoudseigenaarschap mee. Een tweede apparaat brengt configuratie, monitoring, back-ups en een tweede herstelprocedure, en niets daarvan is gratis.

Markeer waar elke regel wordt afgedwongen

Volg één pakket van de client naar een privébron en terug, en markeer elke plek waar beleid wordt toegepast. Een tweede router voegt nog een punt toe waar routevoorkeur, vertaling of verbindingsstatus het oneens kunnen zijn met de eerste. De meeste mysterieuze storingen in een ontwerp met twee gateways leven op die naad.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Schrijf op waar VPN-bescherming eindigt en waar het interne beleid begint. Als het pad tussen de twee apparaten toegeeflijk is, heeft de tweede doos geen grens gecreëerd; hij heeft alleen de plek verplaatst waar een grens had kunnen zijn. Op één platform kunnen afzonderlijke beleidszones nog steeds effectief zijn, en hun effectiviteit moet aan de regels worden gemeten in plaats van te worden verworpen omdat de hardware gedeeld is.

Stop als je niet kunt zeggen welk apparaat de regel afdwingt die ertoe doet. Dat gat is de bevinding, geen detail om later te beslechten.

Inperking is een grens, geen chassis

Een apart apparaat bevat een compromis alleen wanneer het pad erdoorheen beperkt is tot wat de andere kant nodig heeft. Als beide apparaten elkaars verkeer accepteren, heeft een aanvaller die op één landt hetzelfde bereik als voorheen. De inperkingsclaim hoort bij de regelset, niet bij de inventaris. Lees de regels, zeg welke stromen zijn toegestaan en beslis dan of de splitsing iets heeft opgeleverd.

Dezelfde logica geldt voor gebruikers. Een VPN-gebruiker die wordt vertrouwd vanwege het netwerk waar hij vandaan kwam, vertrouwt locatie in plaats van identiteit, en NIST's zero-trustrichtlijn beschrijft het alternatief: elke aanvraag tegen de bron authenticeren en autoriseren. Dat principe geldt welk chassis de tunnel ook beëindigt.

Als de splitsing bestaat om een compliance-lijn te halen in plaats van een stroom te veranderen, zeg dat dan in het record. Een controle die niemand kan uitleggen is de eerste die onder druk wordt verwijderd.

Herstel wat je werkelijk kunt bereiken

Vraag welk herstelpad overleeft wanneer een van beide rollen sterft. Wanneer de enige manier om een kapotte VPN-gateway te bereiken via die gateway loopt, helpt een reserveapparaat elders de beheerder niet die hem moet repareren. Een out-of-band-pad, een console en een gedocumenteerde terugrol zijn de onderdelen die het ontwerp herstelbaar maken.

systemctl status strongswan
nft list ruleset
ip -brief address

Dimensioneer het ontwerp voor de volledige ondersteunde werklast in plaats van een geïsoleerd encryptiegetal, omdat filtering en inspectie dezelfde hardware verbruiken. Gebruik leveranciersdocumentatie en je eigen metingen in plaats van aan te nemen dat scheiding sneller of langzamer is. Schrijf dan het beslissingsrecord: welke stromen zijn toegestaan, welke afhankelijkheden worden gedeeld, wat een onderhoudsvenster neerhaalt, welk capaciteitsbewijs je hebt en wie eigenaar is van elke herstelstap. Dat record is kort genoeg om te beoordelen en specifiek genoeg om erop terug te komen.

De runbook eindigt wanneer het faalcontract is geschreven, het doorstuurpad één benoemd afdwingpunt per regel heeft, inperking door stromen wordt beschreven in plaats van door apparaatnummer, en herstel werkt van buiten de uitgevallen component. Kies de eenvoudigere opstelling die aan die eisen voldoet.