Twoja chmurowa VPN nadal zależy od dostawcy hostingu

Zainstalowałeś system operacyjny, wzmocniłeś usługę i trzymasz klucze, i zaczyna się wydawać, że serwer jest twój. Jest twój tak, jak wynajęte mieszkanie jest twoje: zamek w drzwiach jest pod twoją kontrolą, a budynek nie. Hipervisor, sieć przed instancją i konto, które może odtworzyć wszystko, należą do kogoś innego. Ta różnica decyduje, co musi obejmować plan odtworzenia, i to jest część, którą samodzielny hosting zmienia najmniej.

Konto to prawdziwa płaszczyzna kontroli

Konto hostingowe zarządza maszyną wirtualną, jej dyskami, migawkami, publicznymi adresami i regułami sieci. Każde z tego można zmienić bez logowania się do gościa, co sytuuje konto poza modelem zagrożeń opisywanym przez większość poradników VPN. Doskonała konfiguracja tunelu przeżyje działanie na koncie, które wymienia dysk.

Chroń to konto jako osobny zasób: niezależne dane uwierzytelniające, drugie czynniki oparte na sprzęcie i ślad audytowy, który ktoś naprawdę czyta. Współdzielenie go z tym samym wpisem menedżera haseł co usługa VPN to błąd, który czyni wszystkie pozostałe kontrole bez znaczenia.

Czytaj podział obowiązków dostawcy dla konkretnego produktu, a nie dla chmury w ogóle. Model wspólnej odpowiedzialności to użyteczny przykład tego, jak podzielone są warstwy, a inni dostawcy opisują własne granice, zamiast dziedziczyć ten. Szukasz tego, które awarie masz naprawiać, a które możesz tylko zgłosić.

Zdarzenia infrastrukturalne, którymi nie zarządzasz

Migracja na żywo, konserwacja hosta, awaria sprzętu na węźle fizycznym i zdarzenie pojemnościowe to rzeczy, którymi dostawca zajmuje się według własnego harmonogramu. Możesz zobaczyć restart, krótką utratę pakietów lub zmianę adresu, ale nie zobaczysz przyczyny. Projekt, który traktuje instancję jako stały punkt, zinterpretuje każde z nich jako awarię VPN. Właściwym działaniem jest uczynienie usługi odporną na znikającą instancję, a nie badanie przyczyny, której nigdy ci nie pokażą.

Kopie zapasowe należą do tej warstwy, nie do tunelu. Trzymaj konfigurację serwera, tożsamości, plan adresów i dozwolone trasy w miejscu, które nie zależy od dostępności instancji, i potwierdź, że kopię można odtworzyć bez oryginalnego dysku.

Zachowanie adresu zasługuje na osobną kontrolę. Czy publiczny adres przetrwa zatrzymanie, zamianę lub usunięcie, zależy od tego, jak został przydzielony, a te trzy operacje nie są wymienne. Zapisz, na której polegasz, zanim incydent uczyni pytanie pilnym.

Sprawdź, co przetrwa odbudowę

Zbuduj ścieżkę odtworzenia, dopóki wszystko działa. Zidentyfikuj konsolę lub dostęp poza pasmem, który oferuje dostawca, potwierdź, że dotrzesz do niej bez tunelu, i przechowuj dane uwierzytelniające tam, skąd zepsuty laptop lub zgubiony telefon ich nie zabierze. Jeśli lokalna zmiana zapory zablokuje tunel, ta konsola jest jedyną drogą powrotu.

curl -s http://169.254.169.254/latest/meta-data/instance-id
curl -s http://169.254.169.254/latest/meta-data/public-ipv4
cloud-init status --long

Usługa metadanych odpowiada na pytania o instancję, których gość inaczej nie widzi, a jej dokładne ścieżki różnią się między dostawcami i platformami, więc zweryfikuj je z dokumentacją produktu, który uruchamiasz. Następnie wykonaj jedną kontrolowaną odbudowę instancji testowej i zmierz czas. Procedura odtworzenia, której nikt nie wykonał, jest hipotezą.

Zwróć uwagę, co odbudowa zrobiła z adresem, kluczami hosta, tożsamością dysku i wszystkim, co przypinają klienci. Klienci, którzy buforowali klucz hosta, będą się skarżyć po odbudowie, a ta skarga jest poprawnym zachowaniem, a nie błędem do wyciszenia.

Zdecyduj, co samodzielny hosting naprawdę zmienia

Uruchamianie własnej VPN przenosi zaufanie od operatora VPN do dostawcy hostingu i ciebie. To realna zmiana i nie to samo co usunięcie strony trzeciej. Jeśli celem było uniemożliwienie komercyjnej VPN obserwowania ruchu, dostawca nadal może obserwować sieć instancji, jej dysk i zapisy rozliczeniowe.

Twoje własne logi opisują twoje oprogramowanie i nie opisują każdego zapisu infrastrukturalnego, który dostawca przechowuje. Odwrotnie też jest prawdą: widoczność infrastruktury nie dowodzi, co dostawca zatrzymuje. Oba pytania wymagają polityki dostawcy i twojej konfiguracji, i żadne nie odpowiada na drugie.

Zapisz odpowiedź jako podział pracy: która warstwa zawiodła, kto może ją naprawić i ile ta naprawa trwa. Samodzielny hosting zmienia to, komu ufasz, a użyteczna część ćwiczenia to dokładnie wiedzieć, za którą warstwę im ufasz.