Birlashtirilgan yoki alohida VPN shlyuzi: nosozlik domeni bo'yicha tanlang

Ikki qurilma bittadan chidamliroq ko'rinadi, toki ular bir xil uzatgichni, bir xil gipervizorni va bir xil yuqori kanalni bo'lishishini payqamaguningizcha. Qutilarni sanash hech kim so'ramagan savolga javob beradi; foydali savol bir vaqtda nima ishlamay qolishidir. Avval nosozlik shartnomasini yozib qo'ying, keyin u topologiyani tanlasin. Quyidagi runbook o'sha yozuvni yaratadi.

Bitta qayta yuklashda nima to'xtaydi

Birlashtirilgan shlyuz uchun qayta yuklash, muvaffaqiyatsiz yangilash yoki apparat nosozligi paytida nima yo'qolishini sanab chiqing. Agar internetga kirish va xususiy ulanish birga to'xtasa, bu umumiy uzilish endi sizning mavjudlik talabingizning bir qismi, kimdir yozganmi-yo'qmi. Xuddi shu mashq bir nechta rolni tugatadigan bitta qurilmaga ham tegishli: u tushiradigan xizmatlar ro'yxati haqiqiy spetsifikatsiya.

Alohida shlyuzlar uchun nima umumiy qolishini sanab chiqing: quvvat, virtualizatsiya xosti, yuqori kanal, identifikatsiya provayderi, boshqaruv tarmog'i. Bitta nosoz kommutator orqasidagi ikki qurilma ikki xost nomli bitta nosozlik domeni. Bu bog'liqliklarni e'tiborsiz qoldiradigan ajratish chizma, dizayn emas.

Xizmat ko'rsatish egaligini ham sanang. Boshqa qurilma konfiguratsiya, monitoring, zaxira nusxalar va ikkinchi tiklash tartibini olib keladi va bularning hech biri bepul emas.

Har bir qoida qayerda qo'llanilishini belgilang

Mijozdan xususiy resursgacha va orqaga bitta paketni kuzatib boring va siyosat qo'llaniladigan har bir joyni belgilang. Ikkinchi marshrutizator marshrut ustuvorligi, tarjima yoki ulanish holati birinchisi bilan mos kelmasligi mumkin bo'lgan yana bir nuqta qo'shadi. Ikki shlyuzli dizayndagi eng sirli nosozliklar o'sha chokda yashaydi.

ip route get 10.20.30.40
traceroute -n 10.20.30.40
conntrack -L -p tcp --dport 443

VPN himoyasi qayerda tugashi va ichki siyosat qayerda boshlanishini yozing. Agar ikki qurilma orasidagi yo'l ruxsat beruvchi bo'lsa, ikkinchi quti chegara yaratmadi; u faqat chegara bo'lishi mumkin bo'lgan joyni ko'chirdi. Bitta platformada alohida siyosat zonalari hali ham samarali bo'lishi mumkin va ularning samaradorligini apparat umumiy deb rad etish o'rniga qoidalardan baholash kerak.

Agar muhim qoidani qaysi qurilma qo'llashini ayta olmasangiz, to'xtang. O'sha bo'shliq topilma, keyin hal qilinadigan tafsilot emas.

Izolyatsiya chegara, korpus emas

Alohida qurilma kompromissni faqat u orqali o'tadigan yo'l boshqa tomonga kerakli narsa bilan cheklangan bo'lsa ushlab turadi. Agar ikkala qurilma bir-biridan har qanday trafikni qabul qilsa, biriga qo'ngan tajovuzkor avvalgidek kirish imkoniga ega. Izolyatsiya da'vosi qoidalar to'plamiga tegishli, inventarga emas. Qoidalarni o'qing, qaysi oqimlarga ruxsat berilganini ayting, keyin ajratish nima sotib olganini hal qiling.

Xuddi shu mantiq foydalanuvchilarga ham tegishli. Kelgan tarmog'i tufayli ishonch qozongan VPN foydalanuvchisi identifikatsiya o'rniga joyga ishonadi va NIST ning nol ishonch yo'riqnomasi muqobilni tavsiflaydi: har bir so'rovni resursga nisbatan autentifikatsiya va avtorizatsiya qiling. Bu tamoyil tunnelni qaysi korpus tugatishidan qat'i nazar amal qiladi.

Agar ajratish oqimni o'zgartirish uchun emas, muvofiqlik chizig'ini qondirish uchun bo'lsa, buni yozuvda ayting. Hech kim tushuntira olmaydigan nazorat bosim ostida birinchi bo'lib olib tashlanadi.

Haqiqatan yetib boradigan narsani tiklang

Ikki roldan biri o'lsa, qaysi tiklash yo'li omon qolishini so'rang. Buzilgan VPN shlyuziga yetishning yagona yo'li o'sha shlyuz orqali o'tsa, boshqa joydagi zaxira qurilma uni tuzatishi kerak bo'lgan administratorga yordam bermaydi. Tarmoqdan tashqari yo'l, konsol va hujjatlashtirilgan qaytarish dizaynni tiklanadigan qiladigan qismlardir.

systemctl status strongswan
nft list ruleset
ip -brief address

Dizaynni to'liq qo'llab-quvvatlanadigan ish yukiga o'lchab chiqing, alohida shifrlash raqamiga emas, chunki filtrlash va tekshirish bir xil apparatni sarflaydi. Ajratish tezroq yoki sekinroq deb taxmin qilish o'rniga sotuvchi hujjatlari va o'z o'lchovlaringizdan foydalaning. Keyin qaror yozuvini yozing: qaysi oqimlarga ruxsat berilgan, qaysi bog'liqliklar umumiy, xizmat ko'rsatish oynasi nimani tushiradi, qanday sig'im dalillaringiz bor va har bir tiklash qadamining egasi kim. Bu yozuv ko'rib chiqish uchun yetarlicha qisqa va qayta murojaat qilish uchun yetarlicha aniq.

Runbook nosozlik shartnomasi yozilganda, yo'naltirish yo'lida har bir qoida uchun bitta nomlangan qo'llash nuqtasi bo'lganda, izolyatsiya qurilmalar soni bilan emas, oqimlar bilan tavsiflanganda va tiklash nosoz komponentdan tashqarida ishlaganda tugaydi. Bu talablarga javob beradigan soddaroq tartibni tanlang.