Inventár VPN: zamýšľaný prístup, generovaná konfigurácia, živé relácie
Názov tunela je pozorovanie, nie záznam o službe. Predtým než niečo vyradíte, spojte nájomcu, nasadenú konfiguráciu a účtovné dôkazy.
Každý názov tunela vyzerá ako riadok inventára, kým sa neopýtate, komu patrí. Názov vám povie, že niečo je práve pripojené; nepovie vám, komu služba patrí, čo smú dosiahnuť ani či konfigurácia, ktorá tunel vytvorila, je tá, ktorú ste schválili. V mierke flotily sú tieto tri otázky inventárom a tunel je len najnovšie pozorovanie.
Jedna služba, tri záznamy
Zamýšľaná služba je to, na čo má nájomca nárok: identity, prefixy, prostriedky a stav životného cyklu. Nasadená konfigurácia je generovaná politika, ktorá to má uskutočniť. Pozorovaná relácia je dôkaz z času behu, že sa niečo pripojilo. Vnímanie ich ako jednej tabuľky zlieva tri rôzne druhy pravdy do riadku, ktorý je nesprávny tromi spôsobmi naraz.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
Praktickou skúškou je otázka, na ktorú každý záznam vie odpovedať sám. Opýtajte sa, komu tento prefix patrí, a záznam zamýšľanej služby odpovie. Opýtajte sa, akú politiku drží brána, a nasadený záznam odpovie. Opýtajte sa, či to tento týždeň niekto použil, a záznam relácie odpovie. Stĺpec, ktorý nedokáže odpovedať na svoju vlastnú otázku, je ten, ktorý treba opraviť prvý.
Zaznamenajte nájomcu, nie rozhranie
Dajte každej službe identifikátor, ktorý prežije opätovné pripojenie. Dočasné rozhranie tunela alebo číslo relácie sa menia z dôvodov, ktoré s klientom nemajú nič spoločné, a inventár postavený na jednom z nich získa nový riadok vždy, keď spojenie zakolíše. Postavte ho namiesto toho na nájomcovi a službe a potom k tomu kľúču pripevnite pozorovania.
Záznam potrebuje zodpovedného nájomcu a operátora, prijatú identitu partnera alebo používateľa, odkaz na poverenie namiesto jeho kópie, chránené prefixy, kontext smerovania, povolené prostriedky a zamýšľaný stav životného cyklu. Materiál poverení patrí do podporovaného úložiska tajomstiev; inventár, ktorý nesie súkromné kľúče, sa stal druhou, horšie chránenou kópiou prostredia.
Generovaná konfigurácia má vlastníka a verziu
Automatizácia to uľahčuje a lepšie skrýva. Generátor, ktorý úspešne prebehne, dokazuje, že sa šablóna vykreslila, nie že každé zariadenie zodpovedá výstupu. Niekto napokon počas incidentu zmení bránu ručne, a táto zmena je to najcennejšie, čo treba zachytiť, pretože ju žiadne neskoršie spustenie nezopakuje.
Zaznamenajte, ktorá revízia vytvorila nasadenú politiku, a zachovajte priame úpravy ako rozdiel, ktorý treba zosúladiť namiesto toho, aby ste ich ticho prepísali. Zosúladenie je tu produktom: úspech generátora a skutočný stav zariadenia sú dva fakty, ktoré treba porovnať, nie považovať za rovnaké.
Relácie sú dôkaz, nie oprávnenie
Kde nasadenie používa účtovanie RADIUS, dáva RFC 2866 konkrétne polia na prácu. Acct-Status-Type rozlišuje začiatok od zastavenia a záznamy patriace jednej relácii zdieľajú Acct-Session-Id. Tie polia umožňujú rekonštruovať, kedy relácia začala a skončila, bez dôvery v súhrn z panela.
Účtovný identifikátor je dôkaz z času behu. Neurčuje, ktorý nájomca vlastní podsietu, a nič nesprístupňuje. Spojte ho s bránou a identitou služby a potom držte čas zberu vedľa pozorovania. Chýbajúca správa môže byť zlyhanie telemetrie, nie neprítomnosť používania, a starý záznam nie je dôkazom, že prístup je teraz stále aktívny.
Vyradenie používa rovnaké spojenie
Odstrániť službu znamená odstrániť zamýšľaný prístup, poverenia a živé relácie v tomto poradí, cez vlastníkov každého z nich. Potom overte, že zastaraná konfigurácia zo zariadení zmizla a že sa jej povolené cesty už nevyhodnocujú. Zákazník, ktorý odišiel v minulom štvrťroku, by nemal zostať v zozname prefixov preto, že sa vymazal názov tunela, ale trasa nie.
Nič z toho nevyžaduje jedno zariadenie na funkciu ani konkrétny automatizačný produkt. Prevádzková požiadavka je užšia a ťažšia: zákazník, jeho zamýšľaný prístup, nasadená politika a aktuálne dôkazy z času behu musia byť spojiteľné bez spoliehania sa na niečiu pamäť názvu tunela. Najprv postavte tri záznamy, potom vyberte nástroje, ktoré ich udržiavajú.