VPN инвентар: планирани приступ, генерисана конфигурација, живе сесије

Свако име тунела изгледа као ред у инвентару док не питате чије је. Име вам каже да је нешто тренутно повезано; не може да вам каже чија је услуга, шта им је дозвољено да достигну ни да ли је конфигурација која је створила тунел она коју сте одобрили. У размери флоте та три питања су инвентар, а тунел је само најновије запажање.

Једна услуга, три записа

Планирана услуга је оно на шта закупац има право: идентитети, префикси, ресурси и стање животног циклуса. Распоређена конфигурација је генерисана политика која би то требало да оствари. Посматрана сесија је доказ из времена извршавања да се нешто повезало. Третирање њих као једне табеле сажима три различите врсте истине у ред који је погрешан на три начина истовремено.

Практични тест је питање на које сваки запис може да одговори сам. Питајте чији је овај префикс и запис о планираној услузи одговара. Питајте коју политику држи пролаз и распоређени запис одговара. Питајте да ли га је неко користио ове недеље и запис о сесији одговара. Колона која не може да одговори на сопствено питање је она коју треба прво поправити.

Забележите закупца, не интерфејс

Дајте свакој услузи идентификатор који преживљава поновно повезивање. Привремени интерфејс тунела или број сесије мењају се из разлога који немају никакве везе са клијентом, а инвентар заснован на једном од њих добија нови ред сваки пут када веза затрепери. Заснујте га на закупцу и услузи уместо тога, па на тај кључ прикачите запажања.

Запису су потребни одговорни закупац и оператер, прихваћени идентитет партнера или корисника, упута на акредитацију уместо њене копије, заштићени префикси, контекст усмеравања, дозвољени ресурси и планирано стање животног циклуса. Материјал акредитације припада подржаном складишту тајни; инвентар који носи приватне кључеве постао је друга, слабије заштићена копија окружења.

Генерисана конфигурација има власника и верзију

Аутоматизација то олакшава и боље скрива. Генератор који успешно ради доказује да је шаблон рендерован, а не да се сваки уређај слаже са излазом. Неко ће на крају ручно променити пролаз током инцидента, а та промена је највреднија ствар коју треба забележити, јер је једина коју ниједно касније извршавање неће репродуковати.

Забележите која је ревизија створила распоређену политику, и сачувајте директне измене као разлику коју треба ускладити уместо да их тихо пребришете. Усклађивање је овде производ: успех генератора и стварно стање уређаја су две чињенице које треба упоредити, а не претпоставити једнаким.

Сесије су доказ, не овлашћење

Тамо где распоређивање користи RADIUS рачуноводство, RFC 2866 даје конкретна поља за рад. Acct-Status-Type разликује почетак од заустављања, а записи који припадају једној сесији деле Acct-Session-Id. Та поља вам омогућавају да реконструишете када је сесија почела и завршила без поверења у сажетак контролне табле.

Идентификатор рачуноводства је доказ из времена извршавања. Он не одређује који закупац поседује подмрежу и не даје приступ ничему. Повежите га са пролазом и идентитетом услуге, па држите време прикупљања уз запажање. Извештај који недостаје може бити квар телеметрије, а не одсуство коришћења, и стари запис није доказ да је приступ сада још активан.

Повлачење користи исто повезивање

Уклањање услуге значи уклањање планираног приступа, акредитација и живих сесија, тим редом, кроз власнике свакога од њих. Затим проверите да је застарела конфигурација нестала са уређаја и да се њене дозвољене путање више не разрешавају. Купац који је отишао прошлог квартала не би требало да и даље стоји на листи префикса зато што је име тунела избрисано, а рута није.

Ништа од овога не захтева један уређај по функцији или одређени производ за аутоматизацију. Оперативни захтев је ужи и тежи: купац, његов планирани приступ, распоређена политика и тренутни докази из времена извршавања морају бити повезиви без ослањања на нечије памћење имена тунела. Прво изградите три записа, па изаберите алате који их одржавају.