Kombinovaná alebo samostatná VPN brána: vyberte podľa domény zlyhania

Dve zariadenia vyzerajú odolnejšie ako jedno, kým si nevšimnete, že zdieľajú rovnakú zásuvku, rovnaký hypervizor a rovnaké upstreamové spojenie. Počítanie krabíc odpovedá na otázku, ktorú nikto nepoložil; užitočná otázka je, čo zlyháva v rovnakom čase. Najprv zapíšte kontrakt zlyhania a potom nechajte ho vybrať topológiu. Runbook nižšie vytvára ten záznam.

Čo sa zastaví počas jedného reštartu

Pri kombinovanej bráne vypíšte, čo zmizne počas reštartu, neúspešnej aktualizácie alebo poruchy hardvéru. Ak sa prístup na internet a súkromné pripojenie zastavia spolu, toto spoločné prerušenie je teraz súčasťou vašej požiadavky na dostupnosť, bez ohľadu na to, či to niekto zapísal. Rovnaké cvičenie platí pre jedno zariadenie, ktoré ukončuje niekoľko rolí: zoznam služieb, ktoré zhadzuje, je skutočná špecifikácia.

Pri samostatných bránach vypíšte, čo zostáva spoločné: napájanie, hostiteľ virtualizácie, upstreamové spojenie, poskytovateľ identity, sieť správy. Dve zariadenia za jedným zlyhaným prepínačom sú jedna doména zlyhania s dvoma názvami hostiteľov. Oddelenie, ktoré ignoruje tieto závislosti, je diagram, nie návrh.

Započítajte aj vlastníctvo údržby. Ďalšie zariadenie prináša konfiguráciu, monitorovanie, zálohy a druhý postup obnovy a nič z toho nie je zadarmo.

Označte, kde sa každé pravidlo presadzuje

Sledujte jeden paket od klienta k súkromnému zdroju a späť a označte každé miesto, kde sa uplatňuje politika. Druhý router pridáva ďalší bod, kde sa preferencia trasy, preklad alebo stav spojenia môžu rozísť s prvým. Väčšina záhadných zlyhaní v návrhu s dvoma bránami žije na tom šve.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Zapíšte, kde končí ochrana VPN a kde začína vnútorná politika. Ak je cesta medzi oboma zariadeniami priepustná, druhá krabica nevytvorila hranicu; len presunula miesto, kde hranica mohla byť. Na jednej platforme môžu byť oddelené zóny politiky stále účinné a ich účinnosť sa má posudzovať podľa pravidiel, nie odmietať preto, že hardvér je zdieľaný.

Zastavte sa, ak nedokážete povedať, ktoré zariadenie presadzuje dôležité pravidlo. Táto medzera je zistenie, nie detail na neskoršie vyriešenie.

Izolácia je hranica, nie šasi

Samostatné zariadenie zadrží kompromis len vtedy, keď je cesta cez neho obmedzená na to, čo druhá strana potrebuje. Ak obe zariadenia prijímajú akúkoľvek prevádzku od seba navzájom, útočník, ktorý pristane na jednom, má rovnaký dosah ako predtým. Tvrdenie o izolácii patrí množine pravidiel, nie inventáru. Prečítajte pravidlá, povedzte, ktoré toky sú povolené, a potom rozhodnite, či oddelenie niečo kúpilo.

Rovnaká logika platí pre používateľov. Používateľ VPN, ktorému sa verí kvôli sieti, z ktorej prišiel, verí umiestneniu namiesto identity, a usmernenia NIST k nulovej dôvere opisujú alternatívu: overte a autorizujte každú požiadavku voči zdroju. Tento princíp platí bez ohľadu na to, ktoré šasi tunel ukončuje.

Ak oddelenie existuje, aby splnilo líniu súladu, a nie aby zmenilo tok, povedzte to v zázname. Kontrola, ktorú nikto nedokáže vysvetliť, je prvá, ktorá sa pod tlakom odstráni.

Obnovte to, na čo skutočne dosiahnete

Spýtajte sa, ktorá cesta obnovy prežije, keď zomrie ktorákoľvek z dvoch rolí. Keď jediná cesta k pokazenej VPN bráne vedie cez túto bránu, náhradné zariadenie inde nepomôže správcovi, ktorý ju musí opraviť. Mimosmerová cesta, konzola a zdokumentovaný návrat sú časti, ktoré robia návrh obnoviteľným.

systemctl status strongswan
nft list ruleset
ip -brief address

Dimenzujte návrh na celú podporovanú pracovnú záťaž, nie na izolované číslo šifrovania, pretože filtrovanie a inšpekcia spotrebúvajú rovnaký hardvér. Použite dokumentáciu dodávateľa a vlastné merania namiesto predpokladu, že oddelenie je rýchlejšie alebo pomalšie. Potom napíšte záznam rozhodnutia: ktoré toky sú povolené, ktoré závislosti sú zdieľané, čo zhodí okno údržby, aké dôkazy o kapacite máte a kto vlastní každý krok obnovy. Ten záznam je dosť krátky na revíziu a dosť konkrétny na to, aby ste sa k nemu vrátili.

Runbook končí, keď je kontrakt zlyhania zapísaný, cesta preposielania má jeden pomenovaný bod presadzovania na pravidlo, izolácia je opísaná tokmi, nie počtom zariadení, a obnova funguje zvonku zlyhanej komponenty. Zvoľte jednoduchšie usporiadanie, ktoré spĺňa tieto požiadavky.