Połączona czy osobna brama VPN: wybierz według domeny awarii

Dwa urządzenia wydają się odporniejsze niż jedno, dopóki nie zauważysz, że dzielą tę samą listwę zasilającą, ten sam hiperwizor i to samo łącze nadrzędne. Liczenie skrzynek odpowiada na pytanie, którego nikt nie zadał; użyteczne pytanie brzmi, co zawodzi jednocześnie. Najpierw zapisz kontrakt awarii, a potem pozwól mu wybrać topologię. Poniższy runbook tworzy ten zapis.

Co zatrzymuje się podczas jednego restartu

Dla połączonej bramy wypisz, co znika podczas restartu, nieudanej aktualizacji lub awarii sprzętu. Jeśli dostęp do internetu i łączność prywatna zatrzymują się razem, ta wspólna przerwa jest teraz częścią twojego wymagania dostępności, niezależnie od tego, czy ktoś to zapisał. To samo ćwiczenie dotyczy jednego urządzenia kończącego kilka ról: lista usług, które ono wyłącza, jest prawdziwą specyfikacją.

Dla osobnych bram wypisz, co pozostaje wspólne: zasilanie, host wirtualizacji, łącze nadrzędne, dostawca tożsamości, sieć zarządzania. Dwa urządzenia za jednym uszkodzonym przełącznikiem to jedna domena awarii z dwiema nazwami hostów. Rozdzielenie, które ignoruje te zależności, jest diagramem, nie projektem.

Policz też własność utrzymania. Kolejne urządzenie wnosi konfigurację, monitoring, kopie zapasowe i drugą procedurę odtwarzania, a nic z tego nie jest darmowe.

Zaznacz, gdzie egzekwowana jest każda reguła

Prześledź jeden pakiet od klienta do prywatnego zasobu i z powrotem, i zaznacz każde miejsce, w którym stosowana jest polityka. Drugi router dodaje kolejny punkt, w którym preferencja trasy, translacja lub stan połączenia mogą się nie zgadzać z pierwszym. Większość tajemniczych awarii w projekcie dwóch bram żyje na tym szwie.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Zapisz, gdzie kończy się ochrona VPN, a gdzie zaczyna polityka wewnętrzna. Jeśli ścieżka między dwoma urządzeniami jest permisywna, druga skrzynka nie stworzyła granicy; przesunęła tylko miejsce, w którym granica mogła być. Na jednej platformie odrębne strefy polityki mogą nadal być skuteczne, a ich skuteczność należy oceniać na podstawie reguł, a nie odrzucać dlatego, że sprzęt jest wspólny.

Zatrzymaj się, jeśli nie potrafisz powiedzieć, które urządzenie egzekwuje istotną regułę. Ta luka jest ustaleniem, nie szczegółem do rozstrzygnięcia później.

Odgradzanie to granica, nie obudowa

Osobne urządzenie ogranicza kompromitację tylko wtedy, gdy droga przez nie jest ograniczona do tego, czego potrzebuje druga strona. Jeśli oba urządzenia akceptują dowolny ruch od siebie, atakujący, który wyląduje na jednym, ma taki sam zasięg jak wcześniej. Twierdzenie o odgradzaniu należy do zestawu reguł, nie do inwentarza. Przeczytaj reguły, powiedz, które przepływy są dozwolone, a potem zdecyduj, czy rozdzielenie coś kupiło.

Ta sama logika dotyczy użytkowników. Użytkownik VPN, któremu się ufa z powodu sieci, z której przybył, ufa lokalizacji zamiast tożsamości, a wytyczne NIST dotyczące zerowego zaufania opisują alternatywę: uwierzytelniaj i autoryzuj każde żądanie wobec zasobu. Ta zasada obowiązuje niezależnie od tego, która obudowa kończy tunel.

Jeśli rozdzielenie istnieje, by spełnić linię zgodności, a nie by zmienić przepływ, powiedz to w zapisie. Kontrola, której nikt nie potrafi wyjaśnić, jest pierwszą usuwaną pod presją.

Odtwórz to, do czego naprawdę dotrzesz

Zapytaj, która ścieżka odtwarzania przetrwa, gdy umrze którakolwiek z ról. Gdy jedyna droga do zepsutej bramy VPN prowadzi przez tę bramę, zapasowe urządzenie gdzie indziej nie pomaga administratorowi, który musi ją naprawić. Ścieżka pozapasmowa, konsola i udokumentowane wycofanie to części, które czynią projekt odtwarzalnym.

systemctl status strongswan
nft list ruleset
ip -brief address

Wymiaruj projekt na pełne obsługiwane obciążenie, a nie na izolowaną liczbę szyfrowania, ponieważ filtrowanie i inspekcja zużywają ten sam sprzęt. Używaj dokumentacji dostawcy i własnych pomiarów zamiast zakładać, że rozdzielenie jest szybsze lub wolniejsze. Następnie zapisz decyzję: które przepływy są dozwolone, które zależności są wspólne, co wyłącza okno serwisowe, jakie masz dowody wydajności i kto jest właścicielem każdego kroku odtwarzania. Ten zapis jest dość krótki do przeglądu i dość konkretny, by do niego wrócić.

Runbook kończy się, gdy kontrakt awarii jest zapisany, ścieżka przekazywania ma jeden nazwany punkt egzekwowania na regułę, odgradzanie jest opisane przepływami, a nie liczbą urządzeń, i odtwarzanie działa spoza uszkodzonego komponentu. Wybierz prostszy układ, który spełnia te wymagania.