VPN เกตเวย์แบบรวมหรือแบบแยก: เลือกตามโดเมนความล้มเหลว

อุปกรณ์สองเครื่องดูทนทานกว่าหนึ่งเครื่อง จนกว่าคุณจะสังเกตว่ามันใช้ปลั๊กพ่วงเดียวกัน ไฮเปอร์ไวเซอร์เดียวกัน และลิงก์ต้นน้ำเดียวกัน การนับกล่องตอบคำถามที่ไม่มีใครถาม คำถามที่มีประโยชน์คืออะไรล้มเหลวพร้อมกัน เขียนสัญญาความล้มเหลวก่อน แล้วให้มันเลือกโทโพโลยี รันบุ๊กด้านล่างสร้างบันทึกนั้น

อะไรหยุดระหว่างการรีบูตหนึ่งครั้ง

สำหรับเกตเวย์แบบรวม ให้ระบุว่าอะไรหายไประหว่างการรีบูต การอัปเดตที่ล้มเหลว หรือฮาร์ดแวร์เสีย หากการเข้าถึงอินเทอร์เน็ตและการเชื่อมต่อส่วนตัวหยุดพร้อมกัน การหยุดชะงักร่วมนั้นก็เป็นส่วนหนึ่งของข้อกำหนดด้านความพร้อมใช้งานของคุณแล้ว ไม่ว่ามีใครเขียนไว้หรือไม่ก็ตาม แบบฝึกหัดเดียวกันใช้กับอุปกรณ์เดียวที่ยุติหลายบทบาท รายการบริการที่มันปิดคือข้อกำหนดที่แท้จริง

สำหรับเกตเวย์แบบแยก ให้ระบุว่าอะไรยังใช้ร่วมกัน ไฟเลี้ยง โฮสต์เสมือนจริง ลิงก์ต้นน้ำ ผู้ให้บริการยืนยันตัวตน เครือข่ายบริหารจัดการ อุปกรณ์สองเครื่องหลังสวิตช์ที่เสียหนึ่งตัวคือ โดเมนความล้มเหลวเดียวที่มีสองชื่อโฮสต์ การแยกที่ไม่สนใจการพึ่งพาเหล่านี้เป็นแผนภาพ ไม่ใช่การออกแบบ

นับความเป็นเจ้าของงานบำรุงรักษาด้วย อุปกรณ์อีกเครื่องนำการกำหนดค่า การเฝ้าระวัง สำรองข้อมูล และขั้นตอนกู้คืนที่สองมา และไม่มีอะไรฟรี

ทำเครื่องหมายว่ากฎแต่ละข้อบังคับใช้ที่ไหน

ติดตามแพ็กเก็ตหนึ่งจากไคลเอนต์ไปยังทรัพยากรส่วนตัวและกลับมา และทำเครื่องหมายทุกจุดที่มีการใช้นโยบาย เราเตอร์ตัวที่สองเพิ่มอีกจุดที่การเลือกเส้นทาง การแปล หรือสถานะการเชื่อมต่ออาจไม่ตรงกับตัวแรก ความล้มเหลวลึกลับส่วนใหญ่ในการออกแบบสองเกตเวย์อยู่บนรอยต่อนั้น

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

เขียนว่าการป้องกัน VPN สิ้นสุดที่ไหนและนโยบายภายในเริ่มที่ไหน หากเส้นทางระหว่างอุปกรณ์สองเครื่องเปิดกว้าง กล่องที่สองไม่ได้สร้างเขตแดน มันเพียงย้ายตำแหน่งที่เขตแดนอาจอยู่ บนแพลตฟอร์มเดียว โซนนโยบายที่แยกจากกันยังมีประสิทธิผลได้ และควรประเมินประสิทธิผลจากกฎ ไม่ใช่ปฏิเสธเพราะฮาร์ดแวร์ใช้ร่วมกัน

หยุดหากคุณบอกไม่ได้ว่าอุปกรณ์ใดบังคับใช้กฎที่สำคัญ ช่องว่างนั้นคือข้อค้นพบ ไม่ใช่รายละเอียดที่ค่อยตัดสินใจทีหลัง

การกักกันคือเขตแดน ไม่ใช่ตัวเครื่อง

อุปกรณ์แยกจะกักกันการบุกรุกได้ก็ต่อเมื่อเส้นทางผ่านมันถูกจำกัดไว้เท่าที่อีกฝ่ายต้องการ หากอุปกรณ์ทั้งสองยอมรับการรับส่งใด ๆ จากกัน ผู้โจมตีที่ขึ้นฝั่งบนเครื่องหนึ่งจะเข้าถึงได้เท่าเดิม การอ้างการกักกันเป็นของคุณสมบัติของชุดกฎ ไม่ใช่ของบัญชีทรัพย์สิน อ่านกฎ บอกว่ากระแสใดได้รับอนุญาต แล้วตัดสินว่าการแยกซื้ออะไรได้หรือไม่

ตรรกะเดียวกันใช้กับผู้ใช้ ผู้ใช้ VPN ที่ได้รับความไว้วางใจเพราะเครือข่ายที่มาจากนั้นกำลังไว้วางใจตำแหน่งแทนตัวตน และ แนวปฏิบัติความเชื่อมั่นศูนย์ของ NIST อธิบายทางเลือก คือพิสูจน์และอนุญาตทุกคำขอต่อทรัพยากร หลักการนั้นคงอยู่ไม่ว่าตัวเครื่องใดจะยุติอุโมงค์

หากการแยกมีอยู่เพื่อตอบสนองเส้นความสอดคล้อง ไม่ใช่เพื่อเปลี่ยนกระแส ให้เขียนไว้ในบันทึก การควบคุมที่ไม่มีใครอธิบายได้คือสิ่งแรกที่ถูกถอดออกเมื่อมีแรงกดดัน

กู้คืนสิ่งที่คุณเข้าถึงได้จริง

ถามว่าเส้นทางกู้คืนใดอยู่รอดเมื่อบทบาทใดบทบาทหนึ่งตาย เมื่อทางเดียวสู่เกตเวย์ VPN ที่เสียคือผ่านเกตเวย์นั้น อุปกรณ์สำรองที่อื่นไม่ช่วยผู้ดูแลที่ต้องซ่อมมัน เส้นทางนอกแบนด์ คอนโซล และการย้อนกลับที่มีเอกสารคือส่วนที่ทำให้การออกแบบกู้คืนได้

systemctl status strongswan
nft list ruleset
ip -brief address

กำหนดขนาดการออกแบบสำหรับภาระงานที่รองรับทั้งหมด ไม่ใช่ตัวเลขการเข้ารหัสแบบแยกส่วน เพราะการกรองและการตรวจสอบใช้ฮาร์ดแวร์เดียวกัน ใช้เอกสารผู้ขายและการวัดของคุณเองแทนการสมมติว่าการแยกเร็วหรือช้ากว่า จากนั้นเขียนบันทึกการตัดสินใจ กระแสใดได้รับอนุญาต การพึ่งพาใดใช้ร่วมกัน หน้าต่างบำรุงรักษาทำอะไรหยุดไป มีหลักฐานความจุอะไร และใครเป็นเจ้าของแต่ละขั้นตอนกู้คืน บันทึกนั้นสั้นพอที่จะทบทวนและเฉพาะพอที่จะกลับมาดู

รันบุ๊กสิ้นสุดเมื่อสัญญาความล้มเหลวถูกเขียน เส้นทางส่งต่อมีจุดบังคับใช้ที่ตั้งชื่อหนึ่งจุดต่อกฎ การกักกันอธิบายด้วยกระแสไม่ใช่จำนวนอุปกรณ์ และการกู้คืนทำงานจากนอกส่วนประกอบที่ล้มเหลว เลือกการจัดวางที่เรียบง่ายกว่าซึ่งตรงตามข้อกำหนดเหล่านั้น