Inventário de VPN: acesso pretendido, configuração gerada, sessões ativas
O nome de um túnel é uma observação, não um registro de serviço. Junte o locatário, a configuração implantada e as evidências de contabilidade antes de retirar qualquer coisa.
Todo nome de túnel parece uma linha de inventário até você perguntar quem é o dono. Um nome diz que algo está conectado agora; não pode dizer a quem pertence o serviço, o que lhes é permitido alcançar ou se a configuração que produziu o túnel é a que você aprovou. Na escala da frota, essas três perguntas são o inventário, e o túnel é apenas a observação mais recente.
Um serviço, três registros
O serviço pretendido é aquilo a que o locatário tem direito: identidades, prefixos, recursos e um estado de ciclo de vida. A configuração implantada é a política gerada que deveria realizá-lo. A sessão observada é evidência de tempo de execução de que algo se conectou. Tratá-los como uma única tabela comprime três tipos diferentes de verdade em uma linha que está errada de três maneiras ao mesmo tempo.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
O teste prático é uma pergunta que cada registro consegue responder sozinho. Pergunte quem é o dono deste prefixo e o registro do serviço pretendido responde. Pergunte qual política o gateway mantém e o registro implantado responde. Pergunte se alguém o usou nesta semana e o registro da sessão responde. A coluna que não consegue responder à própria pergunta é a que deve ser corrigida primeiro.
Registre o locatário, não a interface
Dê a cada serviço um identificador que sobreviva a uma reconexão. Uma interface de túnel temporária ou um número de sessão mudam por razões que nada têm a ver com o cliente, e um inventário baseado em um deles ganha uma linha nova sempre que um link oscila. Baseie-o no locatário e no serviço, e depois prenda as observações a essa chave.
O registro precisa do locatário e do operador responsáveis, da identidade de par ou de usuário aceita, de uma referência à credencial em vez de uma cópia, dos prefixos protegidos, do contexto de roteamento, dos recursos permitidos e do estado pretendido do ciclo de vida. O material de credenciais pertence ao armazenamento de segredos suportado; um inventário que carrega chaves privadas tornou-se uma segunda cópia do ambiente, pior protegida.
A configuração gerada tem dono e versão
A automação torna isso mais fácil e esconde melhor. Um gerador que roda com sucesso prova que o modelo foi renderizado, não que cada dispositivo corresponde à saída. Alguém acabará alterando um gateway à mão durante um incidente, e essa alteração é a coisa mais valiosa a capturar, porque é a única que nenhuma execução posterior vai reproduzir.
Registre qual revisão produziu a política implantada, e preserve as edições diretas como uma diferença a reconciliar em vez de sobrescrevê-las em silêncio. A reconciliação é o produto aqui: o sucesso do gerador e o estado real do dispositivo são dois fatos que precisam ser comparados, não presumidos iguais.
Sessões são evidência, não autorização
Onde a implantação usa contabilidade RADIUS, a RFC 2866 oferece campos concretos com que trabalhar. Acct-Status-Type distingue um início de uma parada, e os registros de uma mesma sessão compartilham um Acct-Session-Id. Esses campos permitem reconstruir quando uma sessão começou e terminou sem confiar no resumo de um painel.
Um identificador de contabilidade é evidência de tempo de execução. Ele não define qual locatário possui uma sub-rede e não concede acesso a nada. Correlacione-o com o gateway e a identidade do serviço, e depois guarde o momento da coleta ao lado da observação. Um relatório ausente pode ser uma falha de telemetria e não uma ausência de uso, e um registro antigo não é prova de que o acesso continua ativo agora.
A retirada usa a mesma junção
Remover um serviço significa remover o acesso pretendido, as credenciais e as sessões ativas, nessa ordem, pelos donos de cada um. Depois verifique que a configuração obsoleta sumiu dos dispositivos e que seus caminhos permitidos não são mais resolvidos. Um cliente que saiu no trimestre passado não deveria continuar aparecendo em uma lista de prefixos porque o nome do túnel foi excluído, mas a rota não.
Nada disso exige um equipamento por função ou um produto de automação específico. O requisito operacional é mais estreito e mais difícil: um cliente, seu acesso pretendido, a política implantada e as evidências atuais de tempo de execução precisam ser uníveis sem depender da memória de alguém sobre um nome de túnel. Construa primeiro os três registros e depois escolha as ferramentas que os mantêm.