เมื่อ IPsec ล่ม เส้นทางสำรองไม่ใช่นโยบายสำรอง

ไซต์หนึ่งสูญเสียอุโมงค์ แต่ตารางเส้นทางยังแสดงเส้นทางที่ใช้งานได้สมบูรณ์ไปยังปลายทางผ่านอินเทอร์เน็ต มีคนเสนอให้สลับไปใช้เส้นทางนั้นและเรียกการเปลี่ยนแปลงนี้ว่าการซ่อมเส้นทาง แพ็กเก็ตสามารถไปทางนั้นได้ คำถามที่ไม่มีใครถามคืออนุญาตให้ไปถึงโดยไม่มีการป้องกันหรือไม่ นี่คือคำตอบที่ต่างกันจากตารางที่ต่างกัน และการนำมาปนกันคือหนทางที่เหตุขัดข้องกลายเป็นเหตุการณ์

สองผลลัพธ์ที่ดูเหมือนกันในตารางเส้นทาง

การเข้าถึงได้บอกว่าแพ็กเก็ตมีที่ไป นโยบายความปลอดภัยบอกว่าจะต้องเกิดอะไรขึ้นกับแพ็กเก็ตนั้นระหว่างทาง และทั้งสองถูกบังคับใช้ด้วยกลไกที่ต่างกัน เส้นทางอาจมีอยู่สำหรับโฟลว์ที่นโยบายบังคับให้ทิ้ง และการรวมกันนั้นไม่ใช่การกำหนดค่าที่ผิด การแยกสองคำถามออกจากกันคือสิ่งที่ทำให้แผนรับเหตุขัดข้องตรวจสอบได้

ดังนั้นเส้นทางรับเหตุขัดข้องจะเป็นงานออกแบบก็ต่อเมื่อมีคนตัดสินใจว่าผลลัพธ์ที่อนุญาตข้อใดใช้บังคับ ตราบใดที่ยังไม่มีการตัดสินใจนั้น เส้นทางสำรองก็เป็นสิ่งล่อใจ ไม่ใช่แผน

แบบจำลองนโยบายมีสามคำตัดสิน ไม่ใช่สอง

สถาปัตยกรรม IPsec แยกทราฟฟิกที่ต้องถูกทิ้ง ทราฟฟิกที่ได้รับอนุญาตให้ข้ามการป้องกัน และทราฟฟิกที่ต้องได้รับการป้องกัน ทั้งสามเป็นคำสั่งที่ต่างกัน และตัวกลางคือข้อยกเว้นที่ตั้งใจไว้ ไม่ใช่โหมดความล้มเหลว การอ่านทั้งสามเป็นคู่คือสิ่งที่สร้างทางเลือกปลอมระหว่างอุโมงค์กับถนนเปิด

ความสัมพันธ์ที่หายไปไม่ได้เลื่อนขั้นกฎการป้องกันเป็นข้อยกเว้นอย่างเงียบ ๆ นโยบายยังบอกว่าให้ป้องกัน แพ็กเก็ตจึงรอหรือตาย พฤติกรรมนั้นคือการควบคุมที่ทำงานตามที่เขียนไว้ ไม่ใช่หลักฐานว่านโยบายเสีย

เขียนข้อกำหนดสำหรับโฟลว์ของคุณเป็นหนึ่งในสามประโยค หยุดจนกว่าจะมีเส้นทางที่ได้รับการป้องกัน สลับไปยังเส้นทางที่ได้รับการป้องกันอื่น หรือใช้เส้นทางที่ได้รับอนุญาตแยกให้ทำงานโดยไม่มี IPsec มีเพียงข้อที่สามที่เปลี่ยนสัญญาความปลอดภัย และต้องมีเจ้าของที่ลงนามได้ ประโยคนั้นอยู่ในบันทึกการเปลี่ยนแปลง ไม่ใช่ในความจำของใคร ผู้ตรวจสอบอนุมัติประโยคที่สองและปฏิเสธประโยคที่สาม และทั้งสองเป็นการตัดสินที่สมเหตุสมผลเมื่อมองเห็นได้

การข้ามคือสัญญาที่ปลายทั้งสองลงนาม

เส้นทางทางเลือกต้องมีที่อยู่ที่กำหนดเส้นทางได้ การยอมรับอย่างชัดเจน ณ จุดที่มาถึง และเส้นทางตอบกลับที่ทำงานทั้งสองทิศทาง ที่อยู่ส่วนตัวของไซต์ไม่สามารถเข้าถึงได้เพราะเส้นทางเริ่มต้นชี้ไปที่ใดที่หนึ่ง

การพิสูจน์ตัวตนสำคัญพอ ๆ กับการกำหนดที่อยู่ ทราฟฟิกที่ข้ามอุโมงค์และมาถึงขอบเขตที่คาดหวังการป้องกันจะถูกปฏิเสธแม้จะลงจอดบนอินเทอร์เฟซที่ถูกต้อง นโยบายฝั่งรับจึงต้องยอมรับรูปแบบนั้นโดยตั้งใจ ข้อยกเว้นที่ปลายไกลไม่เคยตกลงด้วยคือเหตุขัดข้องที่มีขั้นตอนเพิ่ม

การลบตัวเลือกหรือการคลายแผนที่เพื่อให้เส้นทางสำรองทำงานไม่ใช่ข้อยกเว้นที่ควบคุมได้ มันขยายสิ่งที่ได้รับการยกเว้น ปล่อยให้ปลายไกลบังคับใช้สิ่งอื่น และอาจเปลี่ยนว่ากฎการแปลข้อใดตรงกับโฟลว์

การแปลและการยอมรับเปลี่ยนการคำนวณ

การแปลสามารถนำเสนอภาพที่อยู่อีกแบบ แต่การแมปไปข้างหน้าและย้อนกลับต้องสอดคล้องกับเส้นทางทางเลือก การแมปทางเดียวทำให้เกิดการเชื่อมต่อที่เปิดแล้วค้างอยู่ การแมปครึ่งเดียวแย่กว่าไม่มีเลย เพราะดูเหมือนความคืบหน้า

การยอมรับคือครึ่งหลัง ฝั่งรับต้องมีกฎที่ชัดเจนสำหรับทราฟฟิกนี้ การบันทึกของตนเอง และวิธีแยกแยะตอนตีสามระหว่างข้อยกเว้นที่ได้รับอนุมัติกับความผิดพลาด

การฟื้นฟูเป็นส่วนหนึ่งของการออกแบบ

บันทึกว่าความล้มเหลวถูกตรวจพบอย่างไร นโยบายใดเลือกตัวแทน และเกิดอะไรขึ้นกับเซสชันที่กำลังทำงานเมื่อมันเกิดขึ้น การเชื่อมต่อใหม่สามารถสำเร็จได้หลังการสลับ ขณะที่การเชื่อมต่อเก่ายังคงสถานะที่ผูกกับที่อยู่ซึ่งใช้ไม่ได้แล้ว

เลือกเส้นทางที่ได้รับการป้องกันอื่นเมื่อใดก็ตามที่ข้อกำหนดคือการป้องกันต่อเนื่อง ในกรณีที่จำเป็นต้องมีข้อยกเว้นที่ไม่มีการป้องกันจริง ๆ ให้จำกัดด้วยแหล่งที่มา ปลายทาง บริการ และระยะเวลา แล้วเขียนว่าถอนออกอย่างไร

ทดสอบทั้งสองสถานะ ไม่ใช่แค่เหตุขัดข้อง

การยอมรับครอบคลุมกรณีอุโมงค์ล้มเหลวและกรณีที่ฟื้นฟูแล้ว พร้อมการตรวจสอบแอปพลิเคชันในแต่ละกรณี ผลลัพธ์ที่น่าสนใจไม่ใช่แพ็กเก็ตยังคงเคลื่อนที่ แต่คือมันเคลื่อนที่ภายใต้สัญญาที่องค์กรเลือกเท่านั้น

เพิ่มการทดสอบการถอนด้วย ข้อยกเว้นที่ไม่มีใครปิดได้กลายเป็นนโยบายถาวรอย่างเงียบ ๆ และนั่นคือสิ่งที่กฎเดิมป้องกันไว้ ใส่ทั้งวันหมดอายุและผู้ตรวจสอบที่ระบุชื่อไว้ มิฉะนั้นข้อยกเว้นจะมีอายุยืนกว่าทุกคนที่เข้าใจมัน