Об'єднаний чи окремий VPN-шлюз: вибір за доменом відмови

Два пристрої здаються надійнішими за один, доки ви не помітите, що вони ділять один подовжувач, один гіпервізор і один висхідний канал. Підрахунок коробок відповідає на питання, яке ніхто не ставив; корисне питання — що відмовляє одночасно. Спершу запишіть контракт відмови, а потім дозвольте йому вибрати топологію. Runbook нижче створює цей запис.

Що зупиняється під час одного перезавантаження

Для об'єднаного шлюзу перелічіть, що зникає під час перезавантаження, невдалого оновлення або відмови обладнання. Якщо доступ до інтернету і приватна зв'язність зупиняються разом, це спільне переривання тепер частина вашої вимоги до доступності, незалежно від того, чи хтось його записав. Та сама вправа стосується одного пристрою, який завершує кілька ролей: список служб, які він знімає, і є справжньою специфікацією.

Для окремих шлюзів перелічіть, що залишається спільним: живлення, хост віртуалізації, висхідний канал, постачальник ідентичності, мережа керування. Два пристрої за одним несправним комутатором — один домен відмови з двома іменами хостів. Розділення, яке ігнорує ці залежності, — це схема, а не проєкт.

Порахуйте також володіння обслуговуванням. Ще один пристрій приносить конфігурацію, моніторинг, резервні копії та другу процедуру відновлення, і ніщо з цього не безкоштовне.

Позначте, де застосовується кожне правило

Простежте один пакет від клієнта до приватного ресурсу і назад та позначте кожне місце, де застосовується політика. Другий маршрутизатор додає ще одну точку, де перевага маршруту, трансляція або стан з'єднання можуть розходитися з першим. Більшість загадкових відмов у проєкті з двома шлюзами живуть саме на цьому шві.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

Запишіть, де закінчується захист VPN і де починається внутрішня політика. Якщо шлях між двома пристроями дозвільний, другий ящик не створив межі; він лише переніс місце, де межа могла бути. На одній платформі окремі зони політики все ще можуть бути ефективними, і їхню ефективність слід оцінювати за правилами, а не відкидати через те, що обладнання спільне.

Зупиніться, якщо не можете сказати, який пристрій застосовує важливе правило. Ця прогалина і є знахідкою, а не деталлю, яку вирішать пізніше.

Ізоляція — це межа, а не корпус

Окремий пристрій стримує компрометацію лише тоді, коли шлях через нього обмежений тим, що потрібно іншій стороні. Якщо обидва пристрої приймають будь-який трафік одне від одного, зловмисник, що потрапив на один, має ту саму досяжність, що й раніше. Твердження про ізоляцію належить набору правил, а не інвентарю. Прочитайте правила, скажіть, які потоки дозволені, потім вирішіть, чи розділення щось купило.

Та сама логіка стосується користувачів. Користувач VPN, якому довіряють через мережу, з якої він прийшов, довіряє місцю замість ідентичності, а настанова NIST щодо нульової довіри описує альтернативу: автентифікувати й авторизувати кожен запит щодо ресурсу. Цей принцип діє незалежно від того, який корпус завершує тунель.

Якщо розділення існує, щоб задовольнити лінію відповідності, а не щоб змінити потік, скажіть це в записі. Контроль, який ніхто не може пояснити, першим знімають під тиском.

Відновлюйте те, до чого справді можна дістатися

Запитайте, який шлях відновлення виживає, коли вмирає будь-яка з двох ролей. Коли єдиний шлях до зламаного VPN-шлюзу йде через цей шлюз, запасний пристрій в іншому місці не допомагає адміністратору, який має його полагодити. Поза смугою шлях, консоль і задокументоване відкочення — це частини, які роблять проєкт відновлюваним.

systemctl status strongswan
nft list ruleset
ip -brief address

Розмірюйте проєкт під повне підтримуване навантаження, а не під ізольоване число шифрування, бо фільтрація й інспекція споживають те саме обладнання. Використовуйте документацію постачальника та власні вимірювання замість припущення, що розділення швидше або повільніше. Потім запишіть рішення: які потоки дозволені, які залежності спільні, що знімає вікно обслуговування, які докази ємності у вас є і хто володіє кожним кроком відновлення. Цей запис достатньо короткий для огляду і достатньо конкретний, щоб до нього повернутися.

Runbook закінчується, коли контракт відмови записано, шлях пересилання має одну названу точку застосування на правило, ізоляція описана потоками, а не кількістю пристроїв, і відновлення працює зовні відмовленого компонента. Виберіть простіше впорядкування, яке відповідає цим вимогам.