Als IPsec wegvalt, is een reservroute geen reservebeleid

Een locatie verliest zijn tunnel, en de routetabel toont nog steeds een volledig bruikbaar pad naar de bestemming via het internet. Iemand stelt voor daarop over te schakelen en noemt de wijziging een routingreparatie. Het pakket zou die weg kunnen volgen; de vraag die niemand stelde is of het onbeschermd mag aankomen. Dat zijn verschillende antwoorden uit verschillende tabellen, en ze door elkaar halen is hoe een storing een incident wordt.

Twee uitkomsten die er in een routetabel identiek uitzien

Bereikbaarheid zegt dat een pakket ergens heen kan. Een beveiligingsbeleid zegt wat er onderweg met dat pakket moet gebeuren, en beide worden door andere mechanismen afgedwongen. Een route kan bestaan voor een stroom die het beleid moet weggooien, en die combinatie is geen verkeerde configuratie. Het scheiden van de twee vragen is wat een storingsplan überhaupt beoordeelbaar maakt.

Een storingspad is dus pas een ontwerp nadat iemand beslist welke van de toegestane uitkomsten geldt. Zolang die beslissing niet bestaat, is de reservroute een verleiding en geen plan.

Het beleidsmodel heeft drie uitspraken, niet twee

De IPsec-architectuur scheidt verkeer dat moet worden weggegooid, verkeer dat de bescherming mag omzeilen, en verkeer dat moet worden beschermd. Dat zijn drie verschillende instructies, en de middelste is een bewuste uitzondering, geen foutmodus. Ze als een paar lezen is wat de valse keuze tussen een tunnel en een open weg oplevert.

Een ontbrekende associatie promoveert een beschermingsregel niet stilzwijgend tot een omzeiling. Het beleid zegt nog steeds beschermen, dus het pakket wacht of sterft, en dat gedrag is de controle die werkt zoals geschreven, geen bewijs dat het beleid kapot is.

Schrijf de eis voor uw stroom als een van drie zinnen: stop tot er een beschermd pad bestaat, schakel over naar een ander beschermd pad, of gebruik een pad dat apart is gemachtigd om zonder IPsec te draaien. Alleen de derde verandert het beveiligingscontract, en die heeft een eigenaar nodig die het kan ondertekenen. Die zin gaat in het wijzigingsregister, niet in iemands geheugen. Beoordelaars keuren de tweede zin goed en weigeren de derde, en beide beslissingen zijn redelijk wanneer ze zichtbaar zijn.

Een omzeiling is een contract dat beide uiteinden ondertekenen

Een alternatief pad heeft routeerbare adressen nodig, expliciete toelating waar het aankomt, en een antwoordpad dat in beide richtingen werkt. Privéadressen van de locatie worden niet bereikbaar omdat een standaardroute ergens heen wijst.

Authenticatie telt even zwaar als adressering. Verkeer dat de tunnel overslaat en aankomt bij een grens die bescherming verwacht, wordt geweigerd zelfs wanneer het op de juiste interface landt, dus het ontvangende beleid moet die vorm bewust accepteren. Een uitzondering waar het verre uiteinde nooit mee heeft ingestemd, is een storing met extra stappen.

Een selector verwijderen of een kaart versoepelen om de reserve te laten werken is geen gecontroleerde uitzondering. Het verbreedt wat is uitgezonderd, laat het verre uiteinde iets anders handhaven, en kan veranderen welke vertaalregel bij de stroom past.

Vertaling en toelating veranderen de rekensom

Vertaling kan een andere adresweergave bieden, maar de voorwaartse en terugwaartse mapping moeten bij het alternatieve pad passen. Eenrichtingsmapping levert een verbinding op die opengaat en daarna blijft hangen. Een halve mapping is erger dan geen, want het lijkt vooruitgang.

Toelating is de tweede helft. De ontvangende kant moet een uitdrukkelijke regel voor dit verkeer hebben, eigen logging, en een manier om om drie uur in de nacht een goedgekeurde uitzondering van een fout te onderscheiden.

Herstel hoort in het ontwerp

Leg vast hoe de storing wordt gedetecteerd, welk beleid de vervanging kiest en wat er gebeurt met sessies die liepen toen het gebeurde. Een nieuwe verbinding kan na de omschakeling slagen terwijl een oudere toestand vasthoudt die aan een adres gebonden is dat niet meer geldt.

Geef de voorkeur aan een ander beschermd pad wanneer de eis doorlopende bescherming is. Waar een onbeschermde uitzondering echt nodig is, begrens die met bronnen, bestemmingen, diensten en een duur, en schrijf op hoe die wordt ingetrokken.

Test beide toestanden, niet alleen de storing

De acceptatie dekt het geval van de mislukte tunnel en het herstelde geval, met een applicatiecontrole op elk. Het interessante resultaat is niet dat pakketten bleven bewegen, maar dat ze alleen bewogen onder het contract dat de organisatie koos.

Voeg ook de intrekkingsproef toe. Een uitzondering die niemand kan uitschakelen is stilzwijgend permanent beleid geworden, en dat is precies waartegen de oorspronkelijke regel beschermde. Zet er een vervaldatum en een genoemde beoordelaar op, anders overleeft de uitzondering iedereen die haar begreep.