Når IPsec fell ut, er ei reserve-rute ikkje ein reservepolitikk

Eit stad misser tunnelen sin, og rutetabellen viser framleis ein fullt brukbar veg til målet gjennom internett. Nokon føreslår å svitsje over til han og kallar endringa ein rutingsreparasjon. Pakken kunne gå den vegen; spørsmålet ingen stilte, er om han har lov til å kome utan vern. Det er ulike svar frå ulike tabellar, og å blande dei er måten eit avbrot blir ei hending.

To utfall som ser like ut i ein rutetabell

Tilgjengelegheit seier at ein pakke har ein stad å gå. Ein tryggingspolicy seier kva som må skje med den pakken undervegs, og begge blir handheva av ulike mekanismar. Ei rute kan finnast for ein straum som policyen er pålagd å forkaste, og den kombinasjonen er ikkje feil konfigurasjon. Det er skiljet mellom dei to spørsmåla som gjer ein avbrotsplan etterprøvbar i det heile.

Så ein avbrotsveg er først eit design når nokon har bestemt kva av dei tillatne utfalla som gjeld. Inntil den avgjerda finst, er reserve-ruta ei freisting og ikkje ein plan.

Policy-modellen har tre dommar, ikkje to

IPsec-arkitekturen skil mellom trafikk som må forkastast, trafikk som har lov til å omgå vern, og trafikk som må vernast. Det er tre ulike instruksjonar, og den midtarste er eit medvite unntak, ikkje ein feilmodus. Det er å lese dei som eit par som skaper det falske valet mellom ein tunnel og ein open veg.

Ein manglande assosiasjon forfremmar ikkje stille ein verneregel til ein omgåing. Policyen seier framleis vern, så pakken ventar eller døyr, og den åtferda er kontrollen som verkar som skriven, ikkje prov på at policyen er øydelagd.

Skriv kravet for straumen din som ein av tre setningar: stopp til det finst ein verna veg, byt til ein annan verna veg, eller bruk ein veg som er særskilt autorisert til å gå utan IPsec. Berre den tredje endrar tryggingskontrakten, og han treng ein eigar som kan signere han. Den setninga går i endringsloggen, ikkje i nokon si hukommelse. Vurderarane godkjenner den andre setninga og avviser den tredje, og begge avgjerdene er rimelege når dei er synlege.

Ei omgåing er ein kontrakt begge endar signerer

Ein alternativ veg treng rutbare adresser, eksplisitt tilgang der han kjem, og ein svarveg som verkar i begge retningar. Private stadadresser blir ikkje tilgjengelege fordi ei standardrute peikar ein stad.

Autentisering betyr like mykje som adressering. Trafikk som hoppar over tunnelen og kjem til ei grense som ventar vern, blir avvist sjølv når han landar på rett grensesnitt, så den mottakande policyen må medvite godta den forma. Eit unntak som den fjerne enden aldri har akseptert, er eit avbrot med ekstra steg.

Å fjerne ein selektor eller løyse opp eit kart for å få reserven til å verke er ikkje eit kontrollert unntak. Det utvidar kva som er unnateke, lèt den fjerne enden handheva noko anna, og kan endre kva omsetjingsregel som passar straumen.

Omsetjing og tilgang endrar reknestykket

Omsetjing kan vise ei anna adressevising, men fram- og tilbakekartlegginga må stemme med den alternative vegen. Einvegskartlegging gir ei samband som opnar seg og deretter heng. Halv kartlegging er verre enn inga, fordi det ser ut som framgang.

Tilgang er den andre halvdelen. Den mottakande sida må ha ein uttrykkeleg regel for denne trafikken, si eiga logging, og ein måte å skilje eit godkjent unntak frå ein feil klokka tre om natta.

Gjenoppretting høyrer heime i designet

Noter korleis feilen blir oppdaga, kva policy som vel erstatninga, og kva som skjer med sesjonar som køyrde då det skjedde. Ei ny samband kan lukkast etter overgangen, medan ei eldre held på tilstand bunden til ei adresse som ikkje lenger gjeld.

Føretrekk ein annan verna veg når kravet er varig vern. Der eit uverna unntak verkeleg er naudsynt, avgrens det med kjelder, mål, tenester og ein varigheit, og skriv ned korleis det blir trekt tilbake.

Test begge tilstandar, ikkje berre avbrotet

Aksepten dekkjer tilfellet med den feila tunnelen og det gjenoppretta, med ein applikasjonskontroll på kvart. Det interessante resultatet er ikkje at pakkane heldt fram å røre seg, men at dei berre rørte seg under kontrakten organisasjonen valde.

Legg til tilbaketrekkingsprøva òg. Eit unntak som ingen kan slå av, har stille blitt permanent policy, og det er nettopp det den opphavlege regelen verna mot. Set ein utløpsdato og ein namngjeven vurderar på det, elles overlever unntaket alle som forstod det.