Združen ali ločen prehod VPN: izberite po domeni okvare

Dve napravi se zdita bolj odporni kot ena, dokler ne opazite, da si delita isti podaljšek, isti hipervizor in isto nadrejeno povezavo. Štetje škatel odgovarja na vprašanje, ki ga nihče ni postavil; uporabno vprašanje je, kaj odpove hkrati. Najprej zapišite pogodbo o okvari in nato pustite, da izbere topologijo. Runbook spodaj ustvari ta zapis.

Kaj se ustavi med enim ponovnim zagonom

Za združen prehod naštejte, kaj izgine med ponovnim zagonom, neuspešno posodobitvijo ali okvaro strojne opreme. Če se dostop do interneta in zasebna povezljivost ustavita skupaj, je ta skupna prekinitev zdaj del vaše zahteve po razpoložljivosti, ne glede na to, ali jo je kdo zapisal. Ista vaja velja za eno napravo, ki konča več vlog: seznam storitev, ki jih podre, je prava specifikacija.

Za ločene prehode naštejte, kaj ostane skupno: napajanje, gostitelj virtualizacije, nadrejena povezava, ponudnik identitete, upravljalno omrežje. Dve napravi za enim odpovedanim stikalom sta ena domena okvare z dvema imenoma gostiteljev. Ločevanje, ki te odvisnosti ignorira, je diagram, ne načrt.

Štejte tudi lastništvo vzdrževanja. Druga naprava prinese konfiguracijo, spremljanje, varnostne kopije in drugi postopek obnovitve, in nič od tega ni brezplačno.

Označite, kje se izvaja vsako pravilo

Sledite enemu paketu od odjemalca do zasebnega vira in nazaj ter označite vsako mesto, kjer se uporabi politika. Drugi usmerjevalnik doda še eno točko, kjer se lahko prednost poti, prevajanje ali stanje povezave razhajajo s prvim. Večina skrivnostnih okvar v zasnovi z dvema prehodoma živi na tem šivu.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Zapišite, kje se zaščita VPN konča in kje se notranja politika začne. Če je pot med napravama dovoljujoča, druga škatla ni ustvarila meje; le premaknila je mesto, kjer bi meja lahko bila. Na eni platformi so lahko ločene politične cone še vedno učinkovite, in njihovo učinkovitost je treba oceniti po pravilih, ne pa zavreči zato, ker je strojna oprema skupna.

Ustavite se, če ne morete reči, katera naprava izvaja pomembno pravilo. Ta vrzel je ugotovitev, ne podrobnost, ki se bo rešila pozneje.

Zadrževanje je meja, ne ohišje

Ločena naprava zadrži kompromis le, kadar je pot skozi njo omejena na to, kar potrebuje druga stran. Če obe napravi sprejmeta kakršen koli promet druga od druge, ima napadalec, ki pristane na eni, enak doseg kot prej. Trditev o zadrževanju pripada naboru pravil, ne popisu. Preberite pravila, povejte, kateri tokovi so dovoljeni, in nato odločite, ali je ločitev kaj kupila.

Ista logika velja za uporabnike. Uporabnik VPN, ki mu zaupajo zaradi omrežja, iz katerega je prišel, zaupa lokaciji namesto identiteti, in smernice NIST o ničelnem zaupanju opisujejo alternativo: overite in avtorizirajte vsako zahtevo glede na vir. To načelo velja ne glede na to, katero ohišje konča tunel.

Če ločitev obstaja zato, da zadosti skladnostni liniji, in ne zato, da bi spremenila tok, povejte to v zapisu. Nadzor, ki ga nihče ne more razložiti, je prvi odstranjen pod pritiskom.

Obnovite tisto, do česar res pridete

Vprašajte, katera pot obnovitve preživi, ko umre katera koli od obeh vlog. Ko edina pot do pokvarjenega prehoda VPN vodi skozi ta prehod, nadomestna naprava drugje ne pomaga skrbniku, ki ga mora popraviti. Zunajpasovna pot, konzola in dokumentiran povratek so deli, ki naredijo zasnovo obnovljivo.

systemctl status strongswan
nft list ruleset
ip -brief address

Dimenzionirajte zasnovo za celotno podprto delovno obremenitev, ne za izolirano število šifriranja, ker filtriranje in pregledovanje porabljata isto strojno opremo. Uporabite dokumentacijo dobavitelja in lastne meritve, namesto da predpostavljate, da je ločitev hitrejša ali počasnejša. Nato napišite zapis odločitve: kateri tokovi so dovoljeni, katere odvisnosti so skupne, kaj podre vzdrževalno okno, kakšne dokaze o zmogljivosti imate in kdo je lastnik vsakega koraka obnovitve. Ta zapis je dovolj kratek za pregled in dovolj konkreten, da se vrnete k njemu.

Runbook se konča, ko je pogodba o okvari zapisana, pot posredovanja ima eno imenovano točko izvajanja na pravilo, zadrževanje je opisano s tokovi, ne s številom naprav, in obnovitev deluje od zunaj odpovedane komponente. Izberite enostavnejšo ureditev, ki izpolnjuje te zahteve.