Pinagsama o hiwalay na VPN gateway: pumili ayon sa failure domain

Dalawang appliance ang mukhang mas matibay kaysa isa hanggang mapansin mong magkapareho sila ng power strip, ng hypervisor at ng upstream link. Ang pagbilang ng kahon ay sumasagot sa tanong na walang nagtanong; ang kapaki-pakinabang na tanong ay kung ano ang sabay na bumibigo. Isulat muna ang kontrata ng pagkasira, pagkatapos hayaan itong pumili ng topolohiya. Ang runbook sa ibaba ay gumagawa ng rekord na iyon.

Ano ang tumitigil sa isang reboot

Para sa pinagsamang gateway, ilista kung ano ang nawawala sa isang reboot, nabigong update o sira ng hardware. Kung parehong tumitigil ang access sa internet at pribadong koneksyon, ang pinagsasaluhang pagkaantala ay bahagi na ngayon ng pangangailangan mo sa pagiging available, may nakasulat man o wala. Ganoon din ang ehersisyo para sa isang appliance na nagtatapos ng maraming tungkulin: ang listahan ng mga serbisyong ibinabagsak nito ang tunay na spesipikasyon.

Para sa hiwalay na gateway, ilista kung ano ang nananatiling pinagsasaluhan: kuryente, ang virtualization host, ang upstream link, ang identity provider, ang management network. Dalawang appliance sa likod ng isang sirang switch ay isang failure domain na may dalawang hostname. Ang paghahati na hindi pinapansin ang mga dependency na iyon ay diagram, hindi disenyo.

Bilangin din ang pagmamay-ari ng maintenance. Ang isa pang appliance ay nagdadala ng configuration, monitoring, backup at pangalawang pamamaraan ng pagbawi, at wala sa mga iyon ang libre.

Markahan kung saan ipinatutupad ang bawat patakaran

Sundan ang isang packet mula sa kliyente patungo sa pribadong resource at pabalik, at markahan ang bawat lugar kung saan inilalapat ang patakaran. Ang pangalawang router ay nagdaragdag ng isa pang punto kung saan ang preference ng ruta, pagsasalin o estado ng koneksyon ay maaaring hindi sumang-ayon sa una. Karamihan sa mahiwagang pagkasira sa disenyong may dalawang gateway ay naninirahan sa tahi na iyon.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Isulat kung saan nagtatapos ang proteksyon ng VPN at kung saan nagsisimula ang panloob na patakaran. Kung ang landas sa pagitan ng dalawang appliance ay mapagbigay, ang pangalawang kahon ay hindi gumawa ng hangganan; inilipat lamang nito ang lugar kung saan maaaring may hangganan. Sa isang platform, ang magkaibang policy zone ay maaari pa ring maging mabisa, at ang bisa nito ay dapat tasahin mula sa mga patakaran sa halip na itakwil dahil pinagsasaluhan ang hardware.

Huminto kung hindi mo masabi kung aling appliance ang nagpapatupad ng patakarang mahalaga. Ang puwang na iyon ang natuklasan, hindi detalye na aayusin mamaya.

Ang pagpigil ay hangganan, hindi chassis

Ang hiwalay na appliance ay nagpipigil ng kompromiso lamang kapag ang landas sa pamamagitan nito ay limitado sa kailangan ng kabilang panig. Kung parehong appliance ay tumatanggap ng anumang trapiko mula sa isa't isa, ang attacker na dumarating sa isa ay may parehong abot gaya ng dati. Ang pag-aangkin ng pagpigil ay pag-aari ng set ng patakaran, hindi ng imbentaryo. Basahin ang mga patakaran, sabihin kung aling daloy ang pinapayagan, pagkatapos magpasya kung may nabili ang paghahati.

Ganoon din ang lohika sa mga user. Ang user ng VPN na pinagkakatiwalaan dahil sa network na pinanggalingan ay nagtitiwala sa lokasyon sa halip na pagkakakilanlan, at inilalarawan ng gabay ng NIST sa zero trust ang alternatibo: patunayan at pahintulutan ang bawat kahilingan laban sa resource. Ang prinsipyong iyon ay nananatili alinman sa chassis ang nagtatapos ng tunnel.

Kung ang paghahati ay umiiral upang matugunan ang isang linya ng pagsunod sa halip na baguhin ang isang daloy, sabihin ito sa rekord. Ang kontrol na walang makapagpapaliwanag ay ang unang tinatanggal sa ilalim ng presyon.

Ibalik ang talagang maaabot mo

Itanong kung aling landas ng pagbawi ang natitira kapag namatay ang alinman sa dalawang tungkulin. Kapag ang tanging paraan upang maabot ang sirang VPN gateway ay dumaan sa gateway na iyon, hindi tinutulungan ng ekstrang appliance sa ibang lugar ang administrador na kailangang ayusin ito. Ang out-of-band na landas, console at dokumentadong rollback ang mga bahaging nagpapabawi ng disenyo.

systemctl status strongswan
nft list ruleset
ip -brief address

Sukatin ang disenyo para sa buong sinusuportahang workload sa halip na isang hiwalay na numero ng encryption, dahil ang pag-filter at inspeksyon ay gumagamit ng parehong hardware. Gamitin ang dokumentasyon ng vendor at ang sarili mong pagsukat sa halip na ipagpalagay na ang paghahati ay mas mabilis o mas mabagal. Pagkatapos isulat ang rekord ng desisyon: aling daloy ang pinapayagan, aling dependency ang pinagsasaluhan, ano ang ibinabagsak ng maintenance window, anong ebidensya ng kapasidad ang mayroon ka at sino ang may-ari ng bawat hakbang ng pagbawi. Ang rekord na iyon ay sapat na maikli upang repasuhin at sapat na tiyak upang balikan.

Nagtatapos ang runbook kapag naisulat ang kontrata ng pagkasira, ang forwarding path ay may isang pinangalanang enforcement point kada patakaran, ang pagpigil ay inilarawan sa daloy sa halip na bilang ng appliance, at gumagana ang pagbawi mula sa labas ng nabigong component. Piliin ang mas simpleng kaayusan na tumutugon sa mga pangangailangang iyon.