Kombinert eller separat VPN-gateway: vel etter feildomenet

To einingar ser meir robuste ut enn éin til du legg merke til at dei deler same straumskinne, same hypervisor og same oppstraumslenke. Å telje boksar svarar på eit spørsmål ingen stilte; det nyttige spørsmålet er kva som sviktar samtidig. Skriv feilkontrakten ned først, og la han deretter velje topologien. Runbooken nedanfor produserer den registreringa.

Kva som stoppar under éin omstart

For ein kombinert gateway, list opp kva som forsvinn under ein omstart, ei mislukka oppdatering eller ein maskinvarefeil. Viss internettilgang og privat tilkopling stoppar samtidig, er det delte avbrotet no ein del av tilgjengekravet ditt, anten nokon har skrive det ned eller ikkje. Same øvinga gjeld for éi eining som avsluttar fleire roller: lista over tenestene ho tar ned, er den eigentlege spesifikasjonen.

For separate gatewayar, list opp kva som blir verande delt: straum, virtualiseringsverten, oppstraumslenka, identitetsleverandøren, administrasjonsnettet. To einingar bak éin feila svitsj er eitt feildomene med to vertsnamn. Separasjon som ignorerer desse avhengnadene er eit diagram, ikkje eit design.

Tel også vedlikehaldseigarskapet. Ei anna eining bringer konfigurasjon, overvaking, sikkerheitskopiar og ein andre gjenopprettingsprosedyre, og ingenting av det er gratis.

Merk kvar kvar regel blir handheva

Følg éin pakke frå klienten til ein privat ressurs og tilbake, og merk kvar stad der ein policy blir brukt. Ein andre ruter legg til nok eit punkt der rutepreferanse, omsetjing eller tilkoplingstilstand kan vere usamd med den første. Dei fleste mystiske feila i eit design med to gatewayar bur på den saumen.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Skriv ned kvar VPN-vernet sluttar og kvar den indre policyen byrjar. Viss vegen mellom dei to einingane er ettergjevande, har den andre boksen ikkje skapt ei grense; han har berre flytta staden der ei grense kunne ha vore. På éin plattform kan åtskilde policy-soner framleis vere effektive, og effektiviteten bør vurderast ut frå reglane i staden for å bli avvist fordi maskinvaren er delt.

Stopp viss du ikkje kan seie kva eining som handhevar regelen som betyr noko. Det gapet er funnet, ikkje ein detalj som skal avgjerast seinare.

Innstenging er ei grense, ikkje eit kabinett

Ei separat eining inneheld eit kompromiss berre når vegen gjennom henne er avgrensa til det den andre sida treng. Viss begge einingane godtar all trafikk frå kvarandre, har ein åtakar som landar på éi same rekkevidd som før. Innstengingspåstanden høyrer til regelsettet, ikkje inventaret. Les reglane, sei kva straumar som er tillatne, og avgjer deretter om separasjonen kjøpte noko.

Same logikken gjeld for brukarar. Ein VPN-brukar som blir trudd på grunn av nettverket han kom frå, trur på plassering i staden for identitet, og NISTs nulltillitsrettleiing skildrar alternativet: autentiser og autoriser kvar førespurnad mot ressursen. Det prinsippet gjeld uansett kva kabinett som avsluttar tunnelen.

Viss separasjonen finst for å oppfylle ei samsvarslinje i staden for å endre ein straum, sei det i registreringa. Ein kontroll ingen kan forklare, er den første som blir fjerna under press.

Gjenopprett det du faktisk kan nå

Spør kva gjenopprettingsveg som overlever når ein av rollene døyr. Når den einaste vegen til ein øydelagd VPN-gateway går gjennom den gatewayen, hjelper ikkje ei reserveeining andre stader administratoren som må reparere han. Ein utanombands veg, ein konsoll og ein dokumentert tilbakerulling er delane som gjer designet gjenopprettande.

systemctl status strongswan
nft list ruleset
ip -brief address

Dimensjoner designet for den fulle støtta arbeidsmengda i staden for eit isolert krypteringstal, fordi filtrering og inspeksjon brukar den same maskinvaren. Bruk leverandørdokumentasjon og dine eigne målingar i staden for å anta at separasjon er raskare eller seinare. Skriv deretter avgjerdsregistreringa: kva straumar som er tillatne, kva avhengnader som er delte, kva eit vedlikehaldsvindauge tar ned, kva kapasitetsbevis du har, og kven som eig kvart gjenopprettingstrinn. Den registreringa er kort nok til å gå gjennom og spesifikk nok til å kome tilbake til.

Runbooken sluttar når feilkontrakten er skriven, videresendingsvegen har eitt namngjeve handhevingpunkt per regel, innstenging blir skildra med straumar i staden for einingstal, og gjenoppretting fungerer utanfrå den feila komponenten. Vel den enklare ordninga som oppfyller desse krava.