VPN-inventaris: bedoelde toegang, gegenereerde configuratie, live sessies
Een tunnelnaam is een waarneming, geen servicerecord. Koppel de tenant, de uitgerolde configuratie en het accountingbewijs voordat je iets buiten gebruik stelt.
Elke tunnelnaam ziet eruit als een inventarisregel tot je vraagt wie hem bezit. Een naam vertelt je dat er nu iets verbonden is; hij kan je niet vertellen wie de dienst toebehoort, wat ze mogen bereiken, of de configuratie die de tunnel heeft gemaakt dezelfde is als die je hebt goedgekeurd. Op vlootschaal zijn die drie vragen de inventaris, en de tunnel is slechts de nieuwste waarneming.
Eén dienst, drie records
De bedoelde dienst is waar de tenant recht op heeft: identiteiten, prefixen, resources en een levenscyclusstatus. De uitgerolde configuratie is het gegenereerde beleid dat die zou moeten realiseren. De waargenomen sessie is runtimebewijs dat er iets verbonden is. Ze als één tabel behandelen perst drie verschillende soorten waarheid in één rij die op drie manieren tegelijk fout is.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
De praktische test is een vraag die elk record alleen kan beantwoorden. Vraag wie deze prefix bezit en het record van de bedoelde dienst antwoordt. Vraag welk beleid de gateway heeft en het uitgerolde record antwoordt. Vraag of iemand hem deze week heeft gebruikt en het sessierecord antwoordt. De kolom die zijn eigen vraag niet kan beantwoorden, is degene die je eerst moet repareren.
Leg de tenant vast, niet de interface
Geef elke dienst een identificatie die een herverbinding overleeft. Een tijdelijke tunnelinterface of sessienummer verandert om redenen die niets met de klant te maken hebben, en een inventaris die op een van beide is gebaseerd, krijgt een nieuwe rij telkens wanneer een link flakkert. Baseer hem in plaats daarvan op de tenant en de dienst, en hang waarnemingen vervolgens aan die sleutel.
Het record heeft de verantwoordelijke tenant en operator nodig, de geaccepteerde peer- of gebruikersidentiteit, een verwijzing naar het credential in plaats van een kopie, de beschermde prefixen, de routingcontext, de toegestane resources en de bedoelde levenscyclusstatus. Credentialmateriaal hoort in de ondersteunde geheimenopslag; een inventaris met privésleutels is een tweede, slechter beschermde kopie van de omgeving geworden.
Gegenereerde configuratie heeft een eigenaar en een versie
Automatisering maakt dit makkelijker en verbergt het beter. Een generator die succesvol draait, bewijst dat de sjabloon is gerenderd, niet dat elk apparaat met de uitvoer overeenkomt. Iemand zal tijdens een incident uiteindelijk handmatig een gateway aanpassen, en die aanpassing is het meest waardevolle om vast te leggen, want het is de enige die geen latere run zal reproduceren.
Leg vast welke revisie het uitgerolde beleid heeft gemaakt, en bewaar directe wijzigingen als een verschil dat verzoend moet worden in plaats van ze stilzwijgend te overschrijven. De verzoening is hier het product: het succes van de generator en de werkelijke staat van het apparaat zijn twee feiten die vergeleken moeten worden, niet als gelijk aangenomen.
Sessies zijn bewijs, geen autorisatie
Waar de uitrol RADIUS-accounting gebruikt, geeft RFC 2866 concrete velden om mee te werken. Acct-Status-Type onderscheidt een start van een stop, en de records van één sessie delen een Acct-Session-Id. Die velden laten je reconstrueren wanneer een sessie begon en eindigde zonder op de samenvatting van een dashboard te vertrouwen.
Een accountingidentificatie is runtimebewijs. Hij bepaalt niet welke tenant een subnet bezit, en hij verleent nergens toegang toe. Correleer hem met de gateway en de dienstidentiteit, en houd de verzameltijd naast de waarneming. Een ontbrekend rapport kan een telemetriestoring zijn en geen gebrek aan gebruik, en een oud record is geen bewijs dat de toegang nu nog actief is.
Buitengebruikstelling gebruikt dezelfde koppeling
Een dienst verwijderen betekent de bedoelde toegang, de credentials en de live sessies verwijderen, in die volgorde, via de eigenaren van elk. Controleer daarna dat de verouderde configuratie van de apparaten verdwenen is en dat de toegestane paden niet meer worden opgelost. Een klant die vorig kwartaal vertrok, hoort niet nog in een prefixlijst te staan omdat de tunnelnaam is verwijderd maar de route niet.
Niets hiervan vereist één apparaat per functie of een specifiek automatiseringsproduct. De operationele eis is smaller en moeilijker: een klant, zijn bedoelde toegang, het uitgerolde beleid en actueel runtimebewijs moeten koppelbaar zijn zonder op iemands herinnering aan een tunnelnaam te vertrouwen. Bouw eerst de drie records en kies daarna de hulpmiddelen die ze onderhouden.