Коли IPsec падає, запасний маршрут — не запасна політика

Майданчик втрачає тунель, а таблиця маршрутизації досі показує цілком робочий шлях до призначення через інтернет. Хтось пропонує перейти на нього і називає цю зміну виправленням маршрутизації. Пакет міг би піти цим шляхом; питання, яке ніхто не поставив, — чи дозволено йому прийти без захисту. Це різні відповіді з різних таблиць, і їх змішування — це те, як збій стає інцидентом.

Два наслідки, які в таблиці маршрутизації виглядають однаково

Досяжність каже, що пакету є куди йти. Політика безпеки каже, що має статися з цим пакетом у дорозі, і обидві забезпечуються різними механізмами. Маршрут може існувати для потоку, який політика зобов’язана відкинути, і таке поєднання не є помилковою конфігурацією. Саме розділення двох питань робить план на випадок збою взагалі перевірюваним.

Тому шлях на випадок збою стає проєктом лише після того, як хтось вирішить, який із дозволених наслідків застосовується. Поки такого рішення немає, запасний маршрут — спокуса, а не план.

Модель політики має три вердикти, а не два

Архітектура IPsec розділяє трафік, який має бути відкинутий, трафік, якому дозволено обходити захист, і трафік, який має бути захищений. Це три різні приписи, і середній — навмисний виняток, а не режим відмови. Саме читання їх парою породжує хибний вибір між тунелем і відкритою дорогою.

Відсутня асоціація не підвищує тихо правило захисту до обходу. Політика й далі каже захищати, тому пакет чекає або помирає, і така поведінка — це контроль, що працює як написано, а не доказ, що політика зламана.

Запишіть вимогу для свого потоку як одне з трьох речень: зупиніться, доки не з’явиться захищений шлях, перейдіть на інший захищений шлях або використайте шлях, якому окремо дозволено працювати без IPsec. Лише третє змінює контракт безпеки, і йому потрібен власник, який може його підписати. Це речення йде до журналу змін, а не до чиєїсь пам’яті. Рецензенти схвалюють друге речення і відмовляють третьому, і обидва рішення розумні, коли вони видимі.

Обхід — це контракт, який підписують обидва кінці

Альтернативному шляху потрібні маршрутизовані адреси, явний допуск там, куди він прибуває, і зворотний шлях, що працює в обидва боки. Приватні адреси майданчика не стають доступними через те, що маршрут за замовчуванням кудись указує.

Автентифікація важить не менше за адресацію. Трафік, який минає тунель і прибуває на межу, що очікує захисту, відхиляється навіть тоді, коли потрапляє на правильний інтерфейс, тому приймальна політика має навмисно прийняти таку форму. Виняток, із яким далекий бік ніколи не погоджувався, — це збій із зайвими кроками.

Вилучення селектора або послаблення карти, щоб резерв запрацював, — не контрольований виняток. Воно розширює те, що виключено, залишає далекий бік застосовувати щось інше і може змінити, яке правило трансляції відповідає потоку.

Трансляція та допуск змінюють арифметику

Трансляція може подати інший вигляд адрес, але пряме й зворотне відображення мають узгоджуватися з альтернативним шляхом. Однобічне відображення дає з’єднання, яке відкривається і потім зависає. Половина відображення гірша за ніщо, бо виглядає як поступ.

Допуск — це друга половина. У приймальної сторони має бути явне правило для цього трафіку, власний журнал і спосіб о третій годині ночі відрізнити схвалений виняток від помилки.

Відновлення — частина проєкту

Запишіть, як виявляється збій, яка політика обирає заміну і що відбувається із сеансами, які працювали в момент його настання. Нове з’єднання може вдатися після переходу, тоді як старіше зберігає стан, прив’язаний до адреси, що вже не діє.

Віддавайте перевагу іншому захищеному шляху щоразу, коли вимога — безперервний захист. Там, де незахищений виняток справді потрібен, обмежте його джерелами, призначеннями, службами й терміном і запишіть, як він знімається.

Перевіряйте обидва стани, а не лише збій

Приймання охоплює випадок тунелю, що відмовив, і відновлений, з перевіркою застосунку в кожному. Цікавий результат не в тому, що пакети продовжували рухатися, а в тому, що вони рухалися лише за контрактом, який обрала організація.

Додайте й тест відкликання. Виняток, який ніхто не може вимкнути, тихо став постійною політикою, і саме від цього захищало початкове правило. Поставте на нього термін і названого рецензента, інакше виняток переживе всіх, хто його розумів.