Lango la VPN lililojumuishwa au tofauti: chagua kwa kikoa cha hitilafu

Vifaa viwili vinaonekana kuwa imara zaidi kuliko kimoja hadi ugundue kwamba vinashiriki kipande kimoja cha umeme, hypervisor moja na kiungo kimoja cha juu. Kuhesabu masanduku hujibu swali ambalo hakuna aliyeliuliza; swali la maana ni kile kinachoshindikana kwa wakati mmoja. Andika kwanza mkataba wa hitilafu, kisha uiruhusu ichague topolojia. Runbook hapa chini hutoa rekodi hiyo.

Kinachosimama wakati wa kuwasha upya mara moja

Kwa lango lililojumuishwa, orodhesha kinachotoweka wakati wa kuwasha upya, sasisho lililoshindwa au hitilafu ya vifaa. Iwapo ufikiaji wa intaneti na muunganisho wa kibinafsi vinasimama pamoja, usumbufu huo wa pamoja sasa ni sehemu ya sharti lako la upatikanaji, iwe mtu aliliandika au la. Zoezi hilo hilo linahusu kifaa kimoja kinachomaliza majukumu kadhaa: orodha ya huduma inazozima ndiyo maelezo halisi.

Kwa lango tofauti, orodhesha kinachobaki kikishirikiwa: umeme, mwenyeji wa uboreshaji wa mtandao, kiungo cha juu, mtoa utambulisho, mtandao wa usimamizi. Vifaa viwili nyuma ya swichi moja iliyoshindikana ni kikoa kimoja cha hitilafu chenye majina mawili ya mwenyeji. Utengano unaopuuza tegemezi hizo ni mchoro, si muundo.

Hesabu pia umiliki wa matengenezo. Kifaa kingine huleta usanidi, ufuatiliaji, nakala rudufu na utaratibu wa pili wa urejeshaji, na hakuna kati ya hivyo ni bure.

Weka alama mahali ambapo kila kanuni inatekelezwa

Fuatilia pakiti moja kutoka kwa mteja hadi rasilimali ya kibinafsi na kurudi, na weka alama kila mahali sera inatumika. Kipanga njia cha pili huongeza sehemu nyingine ambapo upendeleo wa njia, tafsiri au hali ya muunganisho vinaweza kutokubaliana na cha kwanza. Hitilafu nyingi za kutatanisha katika muundo wa lango mbili huishi kwenye mshono huo.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Andika mahali ulinzi wa VPN unaishia na sera ya ndani inaanzia. Ikiwa njia kati ya vifaa viwili inaruhusu, sanduku la pili halikuunda mpaka; lilihamisha tu mahali ambapo mpaka ungeweza kuwa. Kwenye jukwaa moja, kanda tofauti za sera zinaweza bado kuwa na ufanisi, na ufanisi wake unapaswa kupimwa kutokana na kanuni badala ya kukataliwa kwa sababu vifaa vinashirikiwa.

Simama ikiwa huwezi kusema ni kifaa gani kinachotekeleza kanuni muhimu. Pengo hilo ndilo ugunduzi, si maelezo ya kutatuliwa baadaye.

Uzuiaji ni mpaka, si chasi

Kifaa tofauti huzuia maafikiano tu wakati njia kupitia kwake imezuiwa kwa kile ambacho upande mwingine unahitaji. Ikiwa vifaa vyote viwili vinakubali trafiki yoyote kutoka kwa kila kimoja, mshambuliaji anayetua kwenye kimoja ana ufikiaji sawa na hapo awali. Madai ya uzuiaji ni ya seti ya kanuni, si ya orodha ya vifaa. Soma kanuni, sema ni mitiririko gani inaruhusiwa, kisha amua ikiwa utengano ulinunua kitu.

Mantiki hiyo hiyo inahusu watumiaji. Mtumiaji wa VPN anayeaminiwa kwa sababu ya mtandao aliotokea anaamini eneo badala ya utambulisho, na mwongozo wa NIST wa uaminifu sifuri unaeleza mbadala: thibitisha na idhinisha kila ombi dhidi ya rasilimali. Kanuni hiyo inashikilia chasi yoyote itakayomaliza handaki.

Ikiwa utengano upo ili kutimiza mstari wa uzingatiaji badala ya kubadilisha mtiririko, sema hivyo kwenye rekodi. Udhibiti ambao hakuna anayeweza kuueleza ndio wa kwanza kuondolewa chini ya shinikizo.

Rejesha kile unachoweza kufikia kwa kweli

Uliza ni njia gani ya urejeshaji inayosalia wakati wowote wa majukumu mawili unapokufa. Wakati njia pekee ya kufikia lango la VPN lililovunjika inapita kupitia lango hilo, kifaa cha akiba mahali pengine hakimsaidii msimamizi anayehitaji kulirekebisha. Njia ya nje ya bendi, konsoli na urejeshaji ulioandikwa ni sehemu zinazofanya muundo uweze kurejeshwa.

systemctl status strongswan
nft list ruleset
ip -brief address

Pima muundo kwa mzigo kamili wa kazi unaotumika badala ya nambari ya usimbaji iliyotengwa, kwa sababu uchujaji na ukaguzi hutumia vifaa sawa. Tumia nyaraka za muuzaji na vipimo vyako mwenyewe badala ya kudhani utengano ni wa haraka au wa polepole. Kisha andika rekodi ya uamuzi: mitiririko ipi inaruhusiwa, tegemezi zipi zinashirikiwa, dirisha la matengenezo huangusha nini, ushahidi gani wa uwezo unayo na nani anamiliki kila hatua ya urejeshaji. Rekodi hiyo ni fupi vya kutosha kukaguliwa na mahususi vya kutosha kurudi kwake.

Runbook huisha wakati mkataba wa hitilafu umeandikwa, njia ya uelekezaji ina sehemu moja ya utekelezaji iliyotajwa kwa kila kanuni, uzuiaji umeelezwa kwa mitiririko badala ya idadi ya vifaa, na urejeshaji unafanya kazi kutoka nje ya sehemu iliyoshindikana. Chagua mpangilio rahisi unaokidhi mahitaji hayo.