Када IPsec падне, резервна рута није резервна политика

Локација изгуби тунел, а табела рутирања и даље показује потпуно употребљив пут до одредишта кроз интернет. Неко предлаже прелазак на њега и тај потез назива поправком рутирања. Пакет би тим путем могао отићи; питање које нико није поставио јесте сме ли стићи без заштите. То су различити одговори из различитих табела, а њихово мешање је начин на који испад постаје инцидент.

Два исхода која у табели рутирања изгледају исто

Доступност каже да пакет има куда отићи. Безбедносна политика каже шта се с тим пакетом мора догодити на путу, а обоје се спроводи различитим механизмима. Рута може постојати за ток који политика мора одбацити, и та комбинација није погрешна конфигурација. Управо раздвајање два питања чини план за испад уопште прегледним.

Зато је пут за испад замисао тек након што неко одлучи који од дозвољених исхода важи. Док те одлуке нема, резервна рута је искушење, а не план.

Модел политике има три пресуде, а не две

Архитектура IPsec разликује саобраћај који се мора одбацити, саобраћај којем је дозвољено да заобиђе заштиту и саобраћај који се мора заштитити. То су три различите инструкције, а средња је намерно изузеће, а не режим квара. Читање тих инструкција као пара ствара лажни избор између тунела и отвореног пута.

Недостајућа асоцијација не претвара тихо правило заштите у заобилажење. Политика и даље каже штити, па пакет чека или умире, и такво понашање је контрола која ради како је записана, а не доказ да је политика покварена.

Запишите захтев за свој ток као једну од три реченице: станите док не постоји заштићени пут, пређите на други заштићени пут, или користите пут којем је одвојено дозвољено да ради без IPsec. Само трећа мења безбедносни уговор и треба власника који га може потписати. Та реченица иде у запис о промени, а не у нечије памћење. Рецензенти одобравају другу реченицу и одбијају трећу, и обе су одлуке разумне кад су видљиве.

Заобилажење је уговор који потписују оба краја

Алтернативни пут треба усмериве адресе, изричит пријем тамо где пристиже и повратни пут који ради у оба смера. Приватне адресе локације не постају доступне зато што подразумевана рута показује негде.

Аутентикација је једнако важна као адресирање. Саобраћај који прескаче тунел и пристиже на границу која очекује заштиту бива одбијен чак и кад слети на право сучеље, па пријемна политика мора намерно прихватити такав облик. Изузеће с којим се удаљена страна никада није сложила јесте испад с додатним корацима.

Уклањање селектора или попуштање мапе да би резерва радила није контролисано изузеће. Оно шири оно што је изузето, оставља удаљену страну да спроводи нешто друго и може променити које правило превода одговара току.

Превод и пријем мењају рачуницу

Превод може показати други поглед на адресе, али напред и натраг пресликавања морају се слагати с алтернативним путем. Једносмерно пресликавање ствара везу која се отвори и затим виси. Пола пресликавања горе је од ничега, јер изгледа као напредак.

Пријем је друга половина. Пријемна страна мора имати изричито правило за тај саобраћај, сопствено бележење и начин да у три сата ујутру разликује одобрено изузеће од грешке.

Обнова припада замисли

Забележите како се квар открива, која политика бира замену и шта се догађа са сесијама које су радиле кад се догодио. Нова веза може успети након преласка, док старија држи стање везано за адресу која више не важи.

Дајте предност другом заштићеном путу кад год захтев тражи непрекидну заштиту. Где је незаштићено изузеће заиста нужно, ограничите га изворима, одредиштима, услугама и трајањем те запишите како се повлачи.

Испитајте оба стања, не само испад

Прихват покрива случај поквареног тунела и обновљено стање, с провером апликације на свакоме. Занимљив резултат није то да су пакети наставили да се крећу, него да су се кретали само по уговору који је организација одабрала.

Додајте и испит повлачења. Изузеће које нико не може искључити тихо је постало трајна политика, а управо је од тога штитило изворно правило. Ставите на њега рок и именованог рецензента, иначе ће изузеће надживети све који су га разумели.