Popis VPN: predvideni dostop, ustvarjena konfiguracija, žive seje
Ime tunela je opažanje, ne zapis o storitvi. Preden karkoli umaknete, povežite najemnika, nameščeno konfiguracijo in računovodske dokaze.
Vsako ime tunela je videti kot vrstica popisa, dokler ne vprašate, komu pripada. Ime vam pove, da je nekaj prav zdaj povezano; ne more vam povedati, komu pripada storitev, kaj jim je dovoljeno doseči ali ali je konfiguracija, ki je ustvarila tunel, tista, ki ste jo odobrili. V merilu flote so ta tri vprašanja popis, tunel pa je le najnovejše opažanje.
Ena storitev, trije zapisi
Predvidena storitev je tisto, do česar je najemnik upravičen: identitete, predpone, viri in stanje življenjskega cikla. Nameščena konfiguracija je ustvarjena politika, ki bi jo morala uresničiti. Opažena seja je dokaz iz časa izvajanja, da se je nekaj povezalo. Če jih obravnavamo kot eno tabelo, tri različne vrste resnice stisnemo v vrstico, ki je napačna na tri načine hkrati.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
Praktični preizkus je vprašanje, na katero lahko vsak zapis odgovori sam. Vprašajte, komu pripada ta predpona, in zapis o predvideni storitvi odgovori. Vprašajte, kakšno politiko ima prehod, in nameščeni zapis odgovori. Vprašajte, ali jo je ta teden kdo uporabil, in zapis o seji odgovori. Stolpec, ki ne more odgovoriti na svoje lastno vprašanje, je tisti, ki ga je treba popraviti prvega.
Zabeležite najemnika, ne vmesnika
Vsaki storitvi dajte identifikator, ki preživi ponovno povezavo. Začasni vmesnik tunela ali številka seje se spreminjata iz razlogov, ki nimajo nič skupnega s stranko, in popis, ključan na enem od njiju, dobi novo vrstico vsakič, ko povezava zatrese. Namesto tega ga zasnujte na najemniku in storitvi, nato pa opažanja pritrdite na ta ključ.
Zapis potrebuje odgovornega najemnika in operaterja, sprejeto identiteto partnerja ali uporabnika, sklic na poverilnico namesto njene kopije, zaščitene predpone, kontekst usmerjanja, dovoljene vire in predvideno stanje življenjskega cikla. Gradivo poverilnic spada v podprto shrambo skrivnosti; popis, ki nosi zasebne ključe, je postal druga, slabše zaščitena kopija okolja.
Ustvarjena konfiguracija ima lastnika in različico
Avtomatizacija to olajša in bolje skrije. Generator, ki uspešno teče, dokazuje, da je bila predloga izrisana, ne da se vsaka naprava ujema z izhodom. Nekdo bo med incidentom ročno spremenil prehod, in ta sprememba je najdragocenejša stvar za zajem, ker je edina, ki je noben poznejši zagon ne bo ponovil.
Zabeležite, katera revizija je ustvarila nameščeno politiko, in ohranite neposredne spremembe kot razliko, ki jo je treba uskladiti namesto da bi jih tiho prepisali. Usklajevanje je tukaj izdelek: uspeh generatorja in dejansko stanje naprave sta dve dejstvi, ki ju je treba primerjati, ne pa privzeti kot enaki.
Seje so dokaz, ne odobritev
Kjer namestitev uporablja obračunavanje RADIUS, RFC 2866 ponuja konkretna polja za delo. Acct-Status-Type razlikuje začetek od zaustavitve, zapisi, ki pripadajo eni seji, pa si delijo Acct-Session-Id. Ta polja vam omogočajo, da rekonstruirate, kdaj se je seja začela in končala, ne da bi zaupali povzetku nadzorne plošče.
Računovodski identifikator je dokaz iz časa izvajanja. Ne določa, kateri najemnik ima v lasti podomrežje, in ne daje dostopa do ničesar. Povežite ga s prehodom in identiteto storitve, nato pa čas zajema držite ob opažanju. Manjkajoče poročilo je lahko okvara telemetrije in ne odsotnost uporabe, star zapis pa ni dokaz, da je dostop zdaj še vedno aktiven.
Umik uporablja isto povezavo
Odstraniti storitev pomeni odstraniti predvideni dostop, poverilnice in žive seje v tem vrstnem redu, prek lastnikov vsake od njih. Nato preverite, da je zastarela konfiguracija izginila z naprav in da se njene dovoljene poti ne razrešujejo več. Stranka, ki je odšla v prejšnjem četrtletju, ne bi smela še vedno stati na seznamu predpon zato, ker je bilo ime tunela izbrisano, pot pa ne.
Nič od tega ne zahteva ene naprave na funkcijo ali določenega izdelka za avtomatizacijo. Operativna zahteva je ožja in težja: stranka, njen predvideni dostop, nameščena politika in trenutni dokazi iz časa izvajanja morajo biti povezljivi brez zanašanja na spomin nekoga na ime tunela. Najprej zgradite tri zapise, nato izberite orodja, ki jih vzdržujejo.