När IPsec faller är en reservväg ingen reservpolicy

En plats tappar sin tunnel, och routingtabellen visar fortfarande en fullt användbar väg till målet via internet. Någon föreslår att man växlar över till den och kallar ändringen en routingreparation. Paketet skulle kunna gå den vägen; frågan ingen ställde är om det får ankomma utan skydd. Det är olika svar från olika tabeller, och att blanda dem är hur ett avbrott blir en incident.

Två utfall som ser identiska ut i en routingtabell

Nåbarhet säger att ett paket har någonstans att ta vägen. En säkerhetspolicy säger vad som måste hända med paketet på vägen, och båda upprätthålls av olika mekanismer. En rutt kan finnas för ett flöde som policyn är skyldig att kasta, och den kombinationen är inte en felaktig konfiguration. Just åtskillnaden av de två frågorna gör en avbrottsplan över huvud taget granskningsbar.

En avbrottsväg är alltså en design först när någon har bestämt vilket av de tillåtna utfallen som gäller. Så länge det beslutet inte finns är reservvägen en frestelse och inte en plan.

Policymodellen har tre domar, inte två

IPsec-arkitekturen skiljer på trafik som måste kastas, trafik som får kringgå skyddet och trafik som måste skyddas. Det är tre olika instruktioner, och den mellersta är ett avsiktligt undantag, inte ett felfall. Att läsa dem som ett par är det som skapar det falska valet mellan en tunnel och en öppen väg.

En saknad association befordrar inte tyst en skyddsregel till ett kringgående. Policyn säger fortfarande skydda, så paketet väntar eller dör, och det beteendet är kontrollen som fungerar som skriven, inte bevis för att policyn är trasig.

Skriv kravet för ditt flöde som en av tre meningar: stanna tills det finns en skyddad väg, växla till en annan skyddad väg, eller använd en väg som särskilt är auktoriserad att köra utan IPsec. Bara den tredje ändrar säkerhetskontraktet, och den behöver en ägare som kan signera det. Den meningen hör hemma i ändringsloggen, inte i någons minne. Granskarna godkänner den andra meningen och avvisar den tredje, och båda besluten är rimliga när de är synliga.

Ett kringgående är ett kontrakt som båda ändarna signerar

En alternativ väg behöver routbara adresser, uttryckligt tillträde där den anländer och en svarsväg som fungerar i båda riktningarna. Privata platsadresser blir inte nåbara för att en standardrutt pekar någonstans.

Autentisering betyder lika mycket som adressering. Trafik som hoppar över tunneln och anländer till en gräns som förväntar sig skydd avvisas även när den landar på rätt gränssnitt, så den mottagande policyn måste medvetet acceptera den formen. Ett undantag som den bortre änden aldrig har accepterat är ett avbrott med extra steg.

Att ta bort en selektor eller lätta på en karta för att reserven ska fungera är inget kontrollerat undantag. Det vidgar vad som är undantaget, lämnar den bortre änden att upprätthålla något annat och kan ändra vilken översättningsregel som passar flödet.

Översättning och tillträde ändrar räkningen

Översättning kan visa en annan adressvy, men fram- och bakåtmappningen måste stämma med den alternativa vägen. En enkelriktad mappning ger en anslutning som öppnas och sedan hänger. En halv mappning är värre än ingen, eftersom den ser ut som framsteg.

Tillträde är den andra halvan. Den mottagande sidan måste ha en uttrycklig regel för denna trafik, sin egen loggning och ett sätt att klockan tre på natten skilja ett godkänt undantag från ett fel.

Återställning hör till designen

Notera hur felet upptäcks, vilken policy som väljer ersättningen och vad som händer med sessioner som körde när det inträffade. En ny anslutning kan lyckas efter växlingen medan en äldre behåller tillstånd knutet till en adress som inte längre gäller.

Föredra en annan skyddad väg när kravet är kontinuerligt skydd. Där ett oskyddat undantag verkligen behövs, avgränsa det med källor, mål, tjänster och en varaktighet, och skriv ned hur det dras tillbaka.

Testa båda tillstånden, inte bara avbrottet

Acceptansen täcker fallet med den misslyckade tunneln och det återställda, med en applikationskontroll på varje. Det intressanta resultatet är inte att paketen fortsatte att röra sig, utan att de bara rörde sig under det kontrakt organisationen valde.

Lägg också till återkallningstestet. Ett undantag som ingen kan stänga av har tyst blivit permanent policy, och det är precis vad den ursprungliga regeln skyddade mot. Sätt ett utgångsdatum och en namngiven granskare på det, annars överlever undantaget alla som förstod det.