Inventari i VPN: qasja e synuar, konfigurimi i gjeneruar, sesionet aktive
Emri i një tuneli është vëzhgim, jo regjistrim shërbimi. Lidh qiramarrësin, konfigurimin e vendosur dhe provat e kontabilitetit përpara se të tërheqësh diçka.
Çdo emër tuneli duket si rresht inventari derisa të pyesësh kujt i përket. Emri të thotë se diçka është e lidhur tani; nuk mund të thotë kujt i përket shërbimi, çfarë u lejohet të arrijnë ose nëse konfigurimi që prodhoi tunelin është ai që ke miratuar. Në shkallë flote, ato tri pyetje janë inventari, dhe tuneli është vetëm vëzhgimi më i fundit.
Një shërbim, tre regjistra
Shërbimi i synuar është ajo për të cilën qiramarrësi ka të drejtë: identitete, prefikse, burime dhe një gjendje cikli jetësor. Konfigurimi i vendosur është politika e gjeneruar që duhet ta realizojë atë. Sesioni i vëzhguar është provë e kohës së ekzekutimit se diçka u lidh. Trajtimi i tyre si një tabelë e vetme shtyp tre lloje të ndryshme të vërtete në një rresht që është i gabuar në tri mënyra njëkohësisht.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
Testi praktik është një pyetje të cilën çdo regjistër mund t'i përgjigjet vetëm. Pyet kujt i përket ky prefiks dhe regjistri i shërbimit të synuar përgjigjet. Pyet çfarë politike mban porta dhe regjistri i vendosur përgjigjet. Pyet nëse dikush e përdori këtë javë dhe regjistri i sesionit përgjigjet. Kolona që nuk mund t'i përgjigjet pyetjes së vet është ajo që duhet rregulluar e para.
Regjistro qiramarrësin, jo ndërfaqen
Jepini çdo shërbimi një identifikues që i mbijeton një rilidhjeje. Një ndërfaqe tuneli e përkohshme ose një numër sesioni ndryshojnë për arsye që nuk kanë asgjë të bëjnë me klientin, dhe një inventar i bazuar në njërën prej tyre fiton një rresht të ri sa herë që një lidhje dridhet. Bazoje në qiramarrësin dhe shërbimin, pastaj lidh vëzhgimet me atë çelës.
Regjistri ka nevojë për qiramarrësin dhe operatorin përgjegjës, identitetin e pranuar të palës ose përdoruesit, një referim te kredenciali dhe jo një kopje e tij, prefikset e mbrojtura, kontekstin e rrugëzimit, burimet e lejuara dhe gjendjen e synuar të ciklit jetësor. Materiali i kredencialeve i përket magazinës së sekreteve të mbështetur; një inventar që mban çelësa privatë është bërë një kopje e dytë, më pak e mbrojtur, e mjedisit.
Konfigurimi i gjeneruar ka pronar dhe version
Automatizimi e bën këtë më të lehtë dhe e fsheh më mirë. Një gjenerator që ekzekutohet me sukses provon që shablloni u renderua, jo që çdo pajisje përputhet me daljen. Dikush do të ndryshojë përfundimisht një portë me dorë gjatë një incidenti, dhe ai ndryshim është gjëja më e vlefshme për t'u kapur, sepse është i vetmi që asnjë ekzekutim i mëvonshëm nuk do ta riprodhojë.
Regjistro cila rishikim prodhoi politikën e vendosur, dhe ruaj redaktimet e drejtpërdrejta si një diferencë për t'u pajtuar në vend që t'i mbishkruash në heshtje. Pajtimi është produkti këtu: suksesi i gjeneratorit dhe gjendja reale e pajisjes janë dy fakte që duhen krahasuar, jo supozuar të barabarta.
Sesionet janë provë, jo autorizim
Aty ku vendosja përdor kontabilitet RADIUS, RFC 2866 jep fusha konkrete për të punuar. Acct-Status-Type dallon fillimin nga ndalimi, dhe regjistrat që i përkasin një sesioni ndajnë një Acct-Session-Id. Ato fusha të lejojnë të rindërtosh kur një sesion filloi dhe mbaroi pa i besuar përmbledhjes së një paneli.
Një identifikues kontabiliteti është provë e kohës së ekzekutimit. Ai nuk përcakton cili qiramarrës zotëron një nënrrjet dhe nuk jep qasje në asgjë. Lidhe me portën dhe identitetin e shërbimit, pastaj mbaj kohën e grumbullimit pranë vëzhgimit. Një raport që mungon mund të jetë dështim telemetrie dhe jo mungesë përdorimi, dhe një regjistër i vjetër nuk është provë që qasja është ende aktive tani.
Tërheqja përdor të njëjtin bashkim
Heqja e një shërbimi do të thotë heqja e qasjes së synuar, kredencialeve dhe sesioneve aktive, në atë rend, përmes pronarëve të secilit. Pastaj verifiko që konfigurimi i vjetëruar është zhdukur nga pajisjet dhe që rrugët e tij të lejuara nuk zgjidhen më. Një klient që u largua tremujorin e kaluar nuk duhet të vazhdojë të shfaqet në një listë prefiksesh sepse emri i tunelit u fshi, por rruga jo.
Asnjë prej këtyre nuk kërkon një pajisje për funksion ose një produkt të caktuar automatizimi. Kërkesa operacionale është më e ngushtë dhe më e vështirë: një klient, qasja e tij e synuar, politika e vendosur dhe provat aktuale të kohës së ekzekutimit duhet të jenë të bashkueshme pa u mbështetur në kujtesën e dikujt për një emër tuneli. Ndërto së pari tre regjistrat, pastaj zgjidh mjetet që i mirëmbajnë.