Când IPsec cade, o rută de rezervă nu este o politică de rezervă

Un sit își pierde tunelul, iar tabela de rutare arată în continuare o cale perfect utilizabilă către destinație prin internet. Cineva propune comutarea pe ea și numește schimbarea o reparație de rutare. Pachetul ar putea merge pe acea cale; întrebarea pe care nimeni nu a pus-o este dacă îi este permis să ajungă fără protecție. Sunt răspunsuri diferite din tabele diferite, iar amestecarea lor este felul în care o pană devine un incident.

Două rezultate care arată identic într-o tabelă de rutare

Accesibilitatea spune că un pachet are unde să meargă. O politică de securitate spune ce trebuie să se întâmple cu acel pachet pe drum, iar ambele sunt aplicate de mecanisme diferite. O rută poate exista pentru un flux pe care politica este obligată să îl elimine, iar această combinație nu este o configurare greșită. Tocmai separarea celor două întrebări face un plan de pană verificabil.

Așadar, o cale de pană este un proiect abia după ce cineva decide care dintre rezultatele permise se aplică. Cât timp acea decizie nu există, ruta de rezervă este o ispită, nu un plan.

Modelul de politică are trei verdicte, nu două

Arhitectura IPsec separă traficul care trebuie eliminat, traficul căruia i se permite să ocolească protecția și traficul care trebuie protejat. Sunt trei instrucțiuni distincte, iar cea din mijloc este o excepție deliberată, nu un mod de defectare. Citirea lor ca pereche este ceea ce produce falsa alegere între un tunel și un drum deschis.

O asociere lipsă nu promovează în tăcere o regulă de protejare la ocolire. Politica spune în continuare protejează, așa că pachetul așteaptă sau moare, iar acel comportament este controlul care funcționează așa cum este scris, nu dovada că politica este stricată.

Scrieți cerința pentru fluxul dumneavoastră ca una dintre trei propoziții: opriți-vă până când există o cale protejată, treceți pe altă cale protejată sau folosiți o cale autorizată separat să funcționeze fără IPsec. Doar a treia schimbă contractul de securitate și are nevoie de un proprietar care îl poate semna. Acea propoziție merge în registrul de modificări, nu în memoria cuiva. Recenzorii aprobă a doua propoziție și o refuză pe a treia, iar ambele decizii sunt rezonabile când sunt vizibile.

O ocolire este un contract pe care îl semnează ambele capete

O cale alternativă are nevoie de adrese rutabile, de admitere explicită acolo unde ajunge și de o cale de răspuns care funcționează în ambele sensuri. Adresele private ale sitului nu devin accesibile pentru că o rută implicită arată undeva.

Autentificarea contează la fel de mult ca adresarea. Traficul care sare peste tunel și ajunge la o frontieră care așteaptă protecție este respins chiar și când aterizează pe interfața corectă, deci politica de recepție trebuie să accepte acea formă în mod deliberat. O excepție cu care capătul îndepărtat nu a fost niciodată de acord este o pană cu pași în plus.

Eliminarea unui selector sau relaxarea unei hărți pentru ca rezerva să funcționeze nu este o excepție controlată. Lărgește ceea ce este exceptat, lasă capătul îndepărtat să impună altceva și poate schimba care regulă de traducere corespunde fluxului.

Traducerea și admiterea schimbă aritmetica

Traducerea poate prezenta o altă vedere a adreselor, dar mapările directă și inversă trebuie să se potrivească cu calea alternativă. O mapare unidirecțională produce o conexiune care se deschide și apoi se blochează. Jumătate de mapare este mai rău decât nimic, pentru că pare progres.

Admiterea este a doua jumătate. Partea receptoare trebuie să aibă o regulă explicită pentru acest trafic, propria evidență și o modalitate de a distinge la trei dimineața o excepție aprobată de o eroare.

Restaurarea face parte din proiect

Notați cum este detectată defecțiunea, ce politică alege înlocuitorul și ce se întâmplă cu sesiunile care rulau când s-a produs. O conexiune nouă poate reuși după comutare, în timp ce una mai veche păstrează o stare legată de o adresă care nu mai este valabilă.

Preferă o altă cale protejată ori de câte ori cerința este protecție continuă. Acolo unde o excepție fără protecție este cu adevărat necesară, limiteaz-o cu surse, destinații, servicii și o durată, și notează cum este retrasă.

Testați ambele stări, nu doar pana

Acceptarea acoperă cazul tunelului eșuat și pe cel restaurat, cu o verificare a aplicației la fiecare. Rezultatul interesant nu este că pachetele au continuat să se miște, ci că s-au mișcat doar în baza contractului pe care organizația l-a ales.

Adăugați și testul de retragere. O excepție pe care nimeni nu o poate opri a devenit în tăcere politică permanentă, iar exact împotriva acestui lucru proteja regula originală. Puneți pe ea o dată de expirare și un recenzor numit, altfel excepția va supraviețui tuturor celor care au înțeles-o.