Ko IPsec pade, nadomestna pot ni nadomestna politika

Lokacija izgubi tunel, usmerjevalna tabela pa še vedno kaže popolnoma uporabno pot do cilja prek interneta. Nekdo predlaga preklop nanjo in to spremembo imenuje popravek usmerjanja. Paket bi lahko šel po tej poti; vprašanje, ki ga ni nihče postavil, je, ali sme prispeti brez zaščite. To so različni odgovori iz različnih tabel, in njihovo mešanje je način, kako izpad postane incident.

Dva izida, ki v usmerjevalni tabeli izgledata enako

Dosegljivost pravi, da ima paket kam iti. Varnostna politika pravi, kaj se mora s tem paketom zgoditi na poti, in oboje se uveljavlja z različnimi mehanizmi. Pot lahko obstaja za tok, ki ga politika mora zavreči, in ta kombinacija ni napačna konfiguracija. Prav ločevanje obeh vprašanj naredi načrt za izpad sploh pregleden.

Zato je pot za izpad zasnova šele potem, ko se nekdo odloči, kateri od dovoljenih izidov velja. Dokler te odločitve ni, je nadomestna pot skušnjava in ne načrt.

Model politike ima tri razsodbe, ne dveh

Arhitektura IPsec ločuje promet, ki ga je treba zavreči, promet, ki mu je dovoljeno obiti zaščito, in promet, ki ga je treba zaščititi. To so tri različna navodila, srednje pa je namerna izjema, ne način okvare. Branje teh navodil kot para ustvari lažno izbiro med tunelom in odprto cesto.

Manjkajoča asociacija ne povzdigne tiho pravila zaščiti v obhod. Politika še vedno pravi zaščiti, zato paket čaka ali umre, in to vedenje je nadzor, ki deluje tako, kot je zapisan, ne dokaz, da je politika pokvarjena.

Zahtevo za svoj tok zapišite kot enega od treh stavkov: ustavite se, dokler ne obstaja zaščitena pot, preklopite na drugo zaščiteno pot, ali uporabite pot, ki ji je ločeno dovoljeno delovati brez IPsec. Samo tretji spremeni varnostno pogodbo in potrebuje lastnika, ki jo lahko podpiše. Ta stavek gre v zapis o spremembi, ne v nečiji spomin. Recenzenti odobrijo drugi stavek in zavrnejo tretjega, in obe odločitvi sta razumni, ko sta vidni.

Obhod je pogodba, ki jo podpišeta oba konca

Nadomestna pot potrebuje usmerljive naslove, izrecno sprejetje tam, kamor prispe, in povratno pot, ki deluje v obe smeri. Zasebni naslovi lokacije ne postanejo dosegljivi zato, ker privzeta pot nekam kaže.

Preverjanje pristnosti šteje toliko kot naslavljanje. Promet, ki obide tunel in prispe na mejo, ki pričakuje zaščito, je zavrnjen tudi takrat, ko pristane na pravem vmesniku, zato mora sprejemna politika tako obliko namerno sprejeti. Izjema, s katero se oddaljena stran nikoli ni strinjala, je izpad z dodatnimi koraki.

Odstranitev izbirnika ali popuščanje zemljevida, da bi nadomestna pot delovala, ni nadzorovan izjema. Širi to, kar je izvzeto, pušča oddaljeno stran uveljavljati nekaj drugega in lahko spremeni, katero pravilo prevajanja ustreza toku.

Prevajanje in sprejetje spremenita aritmetiko

Prevajanje lahko predstavi drug pogled na naslove, vendar se morata preslikava naprej in nazaj ujemati z nadomestno potjo. Enosmerna preslikava ustvari povezavo, ki se odpre in nato visi. Pol preslikave je slabše kot nič, ker izgleda kot napredek.

Sprejetje je druga polovica. Sprejemna stran mora imeti izrecno pravilo za ta promet, lastno beleženje in način, da ob treh zjutraj loči odobreno izjemo od napake.

Obnova spada k zasnovi

Zapišite, kako se okvara zazna, katera politika izbere zamenjavo in kaj se zgodi s sejami, ki so tekle, ko se je zgodila. Nova povezava lahko po preklopu uspe, medtem ko starejša obdrži stanje, vezano na naslov, ki ne velja več.

Dajte prednost drugi zaščiteni poti vedno, ko zahteva pomeni neprekinjeno zaščito. Kjer je nezaščitena izjema res potrebna, jo omejite z viri, cilji, storitvami in trajanjem ter zapišite, kako se prekliče.

Preizkusite oba stanja, ne le izpada

Sprejem pokriva primer odpovedanega tunela in obnovljenega stanja, s preverjanjem aplikacije pri vsakem. Zanimiv rezultat ni, da so paketi ostali v gibanju, ampak da so se gibali le po pogodbi, ki jo je organizacija izbrala.

Dodajte tudi preizkus preklica. Izjema, ki je nihče ne more izklopiti, je tiho postala trajna politika, in prav pred tem je varovalo prvotno pravilo. Nanjo postavite rok veljavnosti in imenovanega recenzenta, sicer bo izjema preživela vse, ki so jo razumeli.