Inwentarz VPN: zamierzony dostęp, wygenerowana konfiguracja, aktywne sesje
Nazwa tunelu to obserwacja, a nie rekord usługi. Połącz najemcę, wdrożoną konfigurację i dowody księgowe, zanim cokolwiek wycofasz.
Każda nazwa tunelu wygląda jak wiersz inwentarza, dopóki nie zapytasz, do kogo należy. Nazwa mówi, że coś jest teraz połączone; nie powie, do kogo należy usługa, co wolno im osiągnąć ani czy konfiguracja, która utworzyła tunel, jest tą, którą zatwierdziłeś. W skali floty te trzy pytania są inwentarzem, a tunel to tylko najnowsza obserwacja.
Jedna usługa, trzy rekordy
Zamierzona usługa to to, do czego najemca ma prawo: tożsamości, prefiksy, zasoby i stan cyklu życia. Wdrożona konfiguracja to wygenerowana polityka, która powinna ją urzeczywistnić. Zaobserwowana sesja to dowód czasu wykonania, że coś się połączyło. Traktowanie ich jako jednej tabeli wtłacza trzy różne rodzaje prawdy w jeden wiersz, który jest błędny na trzy sposoby naraz.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
Praktyczny test to pytanie, na które każdy rekord potrafi odpowiedzieć sam. Zapytaj, do kogo należy ten prefiks, a rekord zamierzonej usługi odpowie. Zapytaj, jaką politykę ma brama, a wdrożony rekord odpowie. Zapytaj, czy ktoś użył jej w tym tygodniu, a rekord sesji odpowie. Kolumna, która nie potrafi odpowiedzieć na własne pytanie, jest tą, którą trzeba naprawić najpierw.
Zapisuj najemcę, nie interfejs
Nadaj każdej usłudze identyfikator, który przetrwa ponowne połączenie. Tymczasowy interfejs tunelu lub numer sesji zmieniają się z powodów, które nie mają nic wspólnego z klientem, a inwentarz oparty na którymś z nich zyskuje nowy wiersz za każdym razem, gdy łącze drgnie. Oprzyj go raczej na najemcy i usłudze, a potem przypnij obserwacje do tego klucza.
Rekord potrzebuje odpowiedzialnego najemcy i operatora, zaakceptowanej tożsamości peera lub użytkownika, odwołania do poświadczenia zamiast jego kopii, chronionych prefiksów, kontekstu routingu, dozwolonych zasobów i zamierzonego stanu cyklu życia. Materiał poświadczeń należy do obsługiwanego magazynu sekretów; inwentarz noszący klucze prywatne stał się drugą, słabiej chronioną kopią środowiska.
Wygenerowana konfiguracja ma właściciela i wersję
Automatyzacja to ułatwia i lepiej ukrywa. Generator, który działa poprawnie, dowodzi, że szablon został wyrenderowany, a nie że każde urządzenie odpowiada wynikowi. Ktoś w końcu zmieni bramę ręcznie podczas incydentu, a ta zmiana jest najcenniejszą rzeczą do uchwycenia, bo to jedyna, której żadne późniejsze uruchomienie nie odtworzy.
Zapisz, która rewizja wytworzyła wdrożoną politykę, i zachowaj bezpośrednie zmiany jako różnicę do uzgodnienia zamiast po cichu je nadpisywać. Uzgodnienie jest tu produktem: sukces generatora i faktyczny stan urządzenia to dwa fakty, które trzeba porównać, a nie założyć jako równe.
Sesje są dowodem, nie autoryzacją
Gdzie wdrożenie korzysta z księgowania RADIUS, RFC 2866 daje konkretne pola do pracy. Acct-Status-Type odróżnia początek od zatrzymania, a rekordy należące do jednej sesji dzielą Acct-Session-Id. Te pola pozwalają odtworzyć, kiedy sesja się zaczęła i skończyła, bez ufania podsumowaniu panelu.
Identyfikator księgowy jest dowodem czasu wykonania. Nie określa, który najemca posiada podsieć, i nie daje dostępu do niczego. Powiąż go z bramą i tożsamością usługi, a potem trzymaj czas zbierania obok obserwacji. Brakujący raport może być awarią telemetrii, a nie brakiem użycia, a stary rekord nie jest dowodem, że dostęp jest teraz nadal aktywny.
Wycofanie korzysta z tego samego połączenia
Usunięcie usługi oznacza usunięcie zamierzonego dostępu, poświadczeń i aktywnych sesji w tej kolejności, przez właścicieli każdego z nich. Następnie sprawdź, że przestarzała konfiguracja zniknęła z urządzeń i że jej dozwolone ścieżki nie są już rozwiązywane. Klient, który odszedł w poprzednim kwartale, nie powinien nadal widnieć na liście prefiksów dlatego, że usunięto nazwę tunelu, ale nie trasę.
Nic z tego nie wymaga jednego urządzenia na funkcję ani konkretnego produktu automatyzacji. Wymaganie operacyjne jest węższe i trudniejsze: klient, jego zamierzony dostęp, wdrożona polityka i bieżące dowody czasu wykonania muszą być łączliwe bez polegania na czyjejś pamięci nazwy tunelu. Najpierw zbuduj trzy rekordy, potem wybierz narzędzia, które je utrzymują.