VPN-inventarium: avsedd åtkomst, genererad konfiguration, levande sessioner
Ett tunnelnamn är en observation, inte en tjänstepost. Koppla ihop hyresgästen, den utrullade konfigurationen och redovisningsbevisen innan du drar tillbaka något.
Varje tunnelnamn ser ut som en inventarierad rad tills du frågar vem som äger det. Ett namn säger att något är anslutet just nu; det kan inte säga vem tjänsten tillhör, vad de får nå, eller om konfigurationen som skapade tunneln är den du godkände. I flottstorlek är de tre frågorna inventariet, och tunneln är bara den senaste observationen.
En tjänst, tre poster
Den avsedda tjänsten är det hyresgästen har rätt till: identiteter, prefix, resurser och ett livscykeltillstånd. Den utrullade konfigurationen är den genererade policyn som ska förverkliga den. Den observerade sessionen är körtidsbevis på att något anslöt. Att behandla dem som en enda tabell pressar tre olika slags sanning till en rad som är fel på tre sätt samtidigt.
| Record | Answers | Goes stale when |
|---|---|---|
| Intended service | Who may reach what | A contract changes and nobody edits the record |
| Deployed configuration | What the gateway was told | A device is edited by hand |
| Observed session | What is running now | Telemetry stops or a session ends |
Det praktiska provet är en fråga som varje post kan svara på själv. Fråga vem som äger detta prefix och posten för den avsedda tjänsten svarar. Fråga vilken policy gatewayen har och den utrullade posten svarar. Fråga om någon använde den i veckan och sessionsposten svarar. Kolumnen som inte kan svara på sin egen fråga är den som ska rättas först.
Registrera hyresgästen, inte gränssnittet
Ge varje tjänst en identifierare som överlever en återanslutning. Ett tillfälligt tunnelgränssnitt eller sessionsnummer ändras av skäl som inte har något med kunden att göra, och ett inventarium som är nycklat på något av dem får en ny rad varje gång en länk fladdrar. Nyckla det på hyresgästen och tjänsten i stället, och fäst sedan observationer vid den nyckeln.
Posten behöver den ansvariga hyresgästen och operatören, den accepterade peer- eller användaridentiteten, en referens till credentialen i stället för en kopia, de skyddade prefixen, routingkontexten, de tillåtna resurserna och det avsedda livscykeltillståndet. Credentialmaterial hör hemma i det stödda hemlighetslagret; ett inventarium som bär privata nycklar har blivit en andra, sämre skyddad kopia av miljön.
Genererad konfiguration har en ägare och en version
Automatisering gör detta enklare och döljer det bättre. En generator som körs framgångsrikt bevisar att mallen renderades, inte att varje enhet stämmer med utdata. Någon kommer till slut att ändra en gateway för hand under en incident, och den ändringen är det mest värdefulla att fånga, eftersom det är den enda som ingen senare körning kommer att återskapa.
Registrera vilken revision som skapade den utrullade policyn, och bevara direkta ändringar som en skillnad som måste stämmas av i stället för att skriva över dem i tysthet. Avstämningen är produkten här: generatorns framgång och enhetens faktiska tillstånd är två fakta som måste jämföras, inte antas lika.
Sessioner är bevis, inte auktorisation
Där utrullningen använder RADIUS-redovisning ger RFC 2866 konkreta fält att arbeta med. Acct-Status-Type skiljer en start från en stopp, och posterna som hör till en session delar en Acct-Session-Id. De fälten låter dig rekonstruera när en session började och slutade utan att lita på en instrumentpanels sammanfattning.
En redovisningsidentifierare är körtidsbevis. Den avgör inte vilken hyresgäst som äger ett subnät, och den ger inte åtkomst till något. Korrelera den med gatewayen och tjänstens identitet, och håll sedan insamlingstiden bredvid observationen. En saknad rapport kan vara ett telemetrifest och inte frånvaro av användning, och en gammal post är inte bevis för att åtkomsten fortfarande är aktiv nu.
Utrangeringen använder samma koppling
Att ta bort en tjänst betyder att ta bort den avsedda åtkomsten, credentialsen och de levande sessionerna, i den ordningen, via ägarna av varje. Kontrollera sedan att den föråldrade konfigurationen är borta från enheterna och att dess tillåtna sökvägar inte längre löses upp. En kund som lämnade förra kvartalet borde inte fortfarande stå i en prefixlista därför att tunnelnamnet raderades men inte rutten.
Inget av detta kräver en enhet per funktion eller en särskild automatiseringsprodukt. Det operativa kravet är snävare och svårare: en kund, dess avsedda åtkomst, den utrullade policyn och aktuella körtidsbevis måste kunna kopplas samman utan att vila på någons minne av ett tunnelnamn. Bygg de tre posterna först och välj sedan de verktyg som underhåller dem.