VPN-inventar: tiltenkt tilgang, generert konfigurasjon, levande økter
Eit tunnelnamn er ei observasjon, ikkje ein tenestepost. Kople leigetakaren, den utrulla konfigurasjonen og rekneskapsbeviset saman før du trekkjer noko tilbake.
Kvart tunnelnamn ser ut som ei inventarlinje til du spør kven som eig det. Eit namn fortel deg at noko er tilkopla akkurat no; det kan ikkje fortelje deg kven tenesta høyrer til, kva dei har lov til å nå, eller om konfigurasjonen som laga tunnelen er den du godkjende. I flåteskala er dei tre spørsmåla inventaret, og tunnelen er berre den nyaste observasjonen.
Éin teneste, tre postar
Den tiltenkte tenesta er det leigetakaren har krav på: identitetar, prefiks, ressursar og ein livssyklustilstand. Den utrulla konfigurasjonen er den genererte policyen som skal realisere henne. Den observerte økta er køyretidsbevis på at noko kopla seg til. Å handsame dei som éin tabell pressar tre ulike slag sanning inn i éi rad som er feil på tre måtar samstundes.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
Den praktiske prøva er eit spørsmål kvar post kan svare på åleine. Spør kven som eig dette prefikset, og posten for den tiltenkte tenesta svarar. Spør kva policy gatewayen har, og den utrulla posten svarar. Spør om nokon brukte henne denne veka, og øktposten svarar. Kolonnen som ikkje kan svare på sitt eige spørsmål, er den som skal rettast først.
Registrer leigetakaren, ikkje grensesnittet
Gje kvar teneste ein identifikator som overlever ei gjentilkopling. Eit mellombels tunellgrensesnitt eller øktnummer endrar seg av grunnar som ikkje har noko med kunden å gjere, og eit inventar nøkla på ein av dei får ei ny rad kvar gong ei lenkje blafrar. Nøkle det på leigetakaren og tenesta i staden, og fest deretter observasjonar til den nøkkelen.
Posten treng den ansvarlege leigetakaren og operatøren, den aksepterte peer- eller brukaridentiteten, ei tilvising til legitimasjonen i staden for ein kopi av han, dei verna prefiksa, rutekonteksten, dei tillatne ressursane og den tiltenkte livssyklustilstanden. Legitimasjonsmateriale høyrer heime i det støtta løyndomslageret; eit inventar som ber private nøklar har blitt ein andre, dårlegare verna kopi av miljøet.
Generert konfigurasjon har ein eigar og ein versjon
Automatisering gjer dette lettare og skjuler det betre. Ein generator som køyrer vellukka, beviser at malen vart rendra, ikkje at kvar eining samsvarar med utdataa. Nokon vil før eller sidan endre ein gateway for hand under ei hending, og den endringa er det mest verdifulle å fange, fordi det er den einaste ingen seinare køyring vil gjenskape.
Registrer kva revisjon som laga den utrulla policyen, og ta vare på direkte endringar som ein skilnad som må avstemmast i staden for å skrive over dei i det stille. Avstemminga er produktet her: suksessen til generatoren og den faktiske tilstanden til eininga er to fakta som må samanliknast, ikkje antakast like.
Økter er bevis, ikkje autorisasjon
Der utrullinga brukar RADIUS-rekneskap, gjev RFC 2866 konkrete felt å arbeide med. Acct-Status-Type skil ein start frå ein stopp, og postane som høyrer til éi økt deler ein Acct-Session-Id. Dei felta lèt deg rekonstruere når ei økt byrja og slutta, utan å stole på samandraget i eit dashbord.
Ein rekneskapsidentifikator er køyretidsbevis. Han definerer ikkje kva leigetakar som eig eit subnett, og han gjev ikkje tilgang til noko. Korrelér han med gatewayen og tenesteidentiteten, og hald deretter innsamlingstida ved sida av observasjonen. Ein manglande rapport kan vere ein telemetrifeil snarare enn fråvær av bruk, og ein gammal post er ikkje bevis for at tilgangen framleis er aktiv no.
Nedlegging brukar same kopling
Å fjerne ei teneste tyder å fjerne den tiltenkte tilgangen, legitimasjonen og dei levande øktene, i den rekkjefølgja, gjennom eigarane av kvar av dei. Kontroller deretter at den forelda konfigurasjonen er borte frå einingane og at dei tillatne banane ikkje lenger blir løyst opp. Ein kunde som slutta i førre kvartal, bør ikkje framleis stå i ei prefiksliste fordi tunnelnamnet vart sletta, men ruta ikkje.
Ingenting av dette krev éi eining per funksjon eller eit bestemt automatiseringsprodukt. Det operasjonelle kravet er smalare og vanskelegare: ein kunde, den tiltenkte tilgangen hans, den utrulla policyen og gjeldande køyretidsbevis må kunne koplast saman utan å kvile på nokon sitt minne om eit tunnelnamn. Bygg dei tre postane først, og vel deretter verktøya som vedlikeheld dei.