Gateway VPN combinat sau separat: alege după domeniul de defect

Două echipamente par mai reziliente decât unul până când observi că împart aceeași prelungitoare, același hypervisor și aceeași legătură din amonte. Numărarea cutiilor răspunde la o întrebare pe care nimeni nu a pus-o; întrebarea utilă este ce cade în același timp. Scrie mai întâi contractul de defect, apoi lasă-l să aleagă topologia. Runbook-ul de mai jos produce acea înregistrare.

Ce se oprește în timpul unei reporniri

Pentru un gateway combinat, enumeră ce dispare în timpul unei reporniri, al unei actualizări eșuate sau al unei defecțiuni de hardware. Dacă accesul la internet și conectivitatea privată se opresc împreună, întreruperea comună face acum parte din cerința ta de disponibilitate, indiferent dacă cineva a scris-o sau nu. Același exercițiu se aplică unui singur echipament care încheie mai multe roluri: lista serviciilor pe care le coboară este specificația reală.

Pentru gateway-uri separate, enumeră ce rămâne comun: alimentarea, gazda de virtualizare, legătura din amonte, furnizorul de identitate, rețeaua de management. Două echipamente în spatele unui switch defect sunt un singur domeniu de defect cu două nume de gazdă. Separarea care ignoră aceste dependențe este o diagramă, nu un proiect.

Numără și proprietatea mentenanței. Un alt echipament aduce configurație, monitorizare, copii de siguranță și o a doua procedură de recuperare, și nimic din toate acestea nu este gratuit.

Marchează unde este aplicată fiecare regulă

Urmărește un pachet de la client la o resursă privată și înapoi, și marchează fiecare loc unde se aplică o politică. Un al doilea router adaugă încă un punct unde preferința de rută, traducerea sau starea conexiunii pot fi în dezacord cu primul. Majoritatea defecțiunilor misterioase într-un proiect cu două gateway-uri trăiesc pe acea cusătură.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Notează unde se termină protecția VPN și unde începe politica internă. Dacă drumul dintre cele două echipamente este permisiv, a doua cutie nu a creat o graniță; a mutat doar locul unde o graniță ar fi putut exista. Pe o singură platformă, zonele de politică distincte pot fi încă eficiente, iar eficiența lor trebuie evaluată după reguli, nu respinsă pentru că hardware-ul este partajat.

Oprește-te dacă nu poți spune care echipament aplică regula care contează. Acel gol este constatarea, nu un detaliu de lămurit mai târziu.

Conținerea este o graniță, nu un șasiu

Un echipament separat conține un compromis doar când drumul prin el este restricționat la ce are nevoie cealaltă parte. Dacă ambele echipamente acceptă orice trafic unul de la celălalt, un atacator care aterizează pe unul are aceeași rază ca înainte. Afirmația de conținere aparține setului de reguli, nu inventarului. Citește regulile, spune ce fluxuri sunt permise, apoi decide dacă separarea a cumpărat ceva.

Aceeași logică se aplică utilizatorilor. Un utilizator VPN în care se are încredere din cauza rețelei din care a venit se încrede în locație în loc de identitate, iar îndrumările NIST privind încrederea zero descriu alternativa: autentifică și autorizează fiecare cerere față de resursă. Acel principiu se menține indiferent ce șasiu termină tunelul.

Dacă separarea există pentru a satisface o linie de conformitate și nu pentru a schimba un flux, spune asta în înregistrare. Un control pe care nimeni nu îl poate explica este primul eliminat sub presiune.

Recuperează ce poți ajunge cu adevărat

Întreabă ce cale de recuperare supraviețuiește când moare oricare dintre cele două roluri. Când singura cale de a ajunge la un gateway VPN stricat trece prin acel gateway, un echipament de rezervă în altă parte nu îl ajută pe administratorul care trebuie să îl repare. O cale în afara benzii, o consolă și o revenire documentată sunt părțile care fac proiectul recuperabil.

systemctl status strongswan
nft list ruleset
ip -brief address

Dimensionează proiectul pentru întreaga încărcare suportată, nu pentru un număr de criptare izolat, deoarece filtrarea și inspecția consumă același hardware. Folosește documentația furnizorului și propriile măsurători în loc să presupui că separarea este mai rapidă sau mai lentă. Apoi scrie înregistrarea deciziei: ce fluxuri sunt permise, ce dependențe sunt comune, ce coboară o fereastră de mentenanță, ce dovezi de capacitate ai și cine deține fiecare pas de recuperare. Acea înregistrare este destul de scurtă pentru revizuire și destul de specifică pentru a reveni la ea.

Runbook-ul se termină când contractul de defect este scris, calea de forwarding are un punct de aplicare numit pe regulă, conținerea este descrisă prin fluxuri și nu prin numărul de echipamente, iar recuperarea funcționează din afara componentei defecte. Alege aranjamentul mai simplu care îndeplinește aceste cerințe.