Khi IPsec sập, tuyến dự phòng không phải là chính sách dự phòng

Một site mất đường hầm, và bảng định tuyến vẫn hiển thị một đường đi hoàn toàn dùng được tới đích qua internet. Ai đó đề xuất chuyển sang đường đó và gọi thay đổi này là sửa định tuyến. Gói tin có thể đi theo đường đó; câu hỏi mà không ai đặt ra là liệu nó có được phép đến mà không có bảo vệ hay không. Đó là những câu trả lời khác nhau từ những bảng khác nhau, và trộn chúng với nhau chính là cách một sự cố trở thành một vụ việc.

Hai kết quả trông giống nhau trong bảng định tuyến

Khả năng tiếp cận nói rằng gói tin có nơi để đi. Chính sách bảo mật nói điều gì phải xảy ra với gói tin đó trên đường, và cả hai được thực thi bởi những cơ chế khác nhau. Một tuyến có thể tồn tại cho một luồng mà chính sách buộc phải loại bỏ, và sự kết hợp đó không phải là cấu hình sai. Chính việc tách hai câu hỏi ra mới làm cho một kế hoạch sự cố có thể xem xét được.

Vì vậy một đường sự cố chỉ là thiết kế sau khi ai đó quyết định kết quả nào trong các kết quả được phép là áp dụng. Chừng nào quyết định đó chưa tồn tại, tuyến dự phòng là một cám dỗ chứ không phải một kế hoạch.

Mô hình chính sách có ba phán quyết, không phải hai

Kiến trúc IPsec phân tách lưu lượng buộc phải bị loại bỏ, lưu lượng được phép đi vòng qua bảo vệ, và lưu lượng phải được bảo vệ. Đó là ba chỉ thị khác nhau, và cái ở giữa là một miễn trừ có chủ đích chứ không phải một chế độ lỗi. Đọc chúng như một cặp chính là điều tạo ra lựa chọn sai lầm giữa một đường hầm và một con đường mở.

Một liên kết thiếu không âm thầm nâng một quy tắc bảo vệ thành đi vòng. Chính sách vẫn nói hãy bảo vệ, nên gói tin chờ hoặc chết, và hành vi đó là sự kiểm soát đang hoạt động đúng như đã viết, không phải bằng chứng rằng chính sách hỏng.

Hãy viết yêu cầu cho luồng của bạn như một trong ba câu: dừng lại cho tới khi có một đường được bảo vệ, chuyển sang một đường được bảo vệ khác, hoặc dùng một đường được cho phép riêng để chạy mà không có IPsec. Chỉ câu thứ ba thay đổi hợp đồng bảo mật, và nó cần một người sở hữu có thể ký nó. Câu đó đi vào hồ sơ thay đổi, không phải vào trí nhớ của ai đó. Người đánh giá chấp thuận câu thứ hai và từ chối câu thứ ba, và cả hai quyết định đều hợp lý khi chúng được nhìn thấy.

Đi vòng là hợp đồng mà cả hai đầu ký

Một đường thay thế cần địa chỉ định tuyến được, sự chấp nhận rõ ràng tại nơi nó đến, và một đường phản hồi hoạt động theo cả hai chiều. Địa chỉ riêng của site không trở nên tiếp cận được chỉ vì một tuyến mặc định trỏ về đâu đó.

Xác thực quan trọng ngang với đánh địa chỉ. Lưu lượng bỏ qua đường hầm và đến một ranh giới đang chờ bảo vệ sẽ bị từ chối ngay cả khi nó đáp xuống đúng giao diện, nên chính sách nhận phải chấp nhận hình dạng đó một cách có chủ đích. Một miễn trừ mà đầu xa chưa từng đồng ý là một sự cố với thêm các bước.

Gỡ bỏ một bộ chọn hoặc nới lỏng một bản đồ để tuyến dự phòng hoạt động không phải là một miễn trừ được kiểm soát. Nó mở rộng phạm vi được miễn trừ, để đầu xa thực thi một thứ khác, và có thể thay đổi quy tắc dịch nào khớp với luồng.

Dịch và chấp nhận thay đổi bài toán

Dịch có thể trình bày một góc nhìn địa chỉ khác, nhưng ánh xạ xuôi và ngược phải khớp với đường thay thế. Ánh xạ một chiều tạo ra một kết nối mở ra rồi treo. Nửa ánh xạ còn tệ hơn không có, vì nó trông giống như tiến bộ.

Chấp nhận là nửa còn lại. Phía nhận phải có một quy tắc rõ ràng cho lưu lượng này, ghi nhật ký riêng, và một cách để lúc ba giờ sáng phân biệt một miễn trừ đã được phê duyệt với một sai sót.

Khôi phục thuộc về thiết kế

Ghi lại cách phát hiện lỗi, chính sách nào chọn phương án thay thế, và điều gì xảy ra với các phiên đang chạy khi nó xảy ra. Một kết nối mới có thể thành công sau khi chuyển đổi trong khi một kết nối cũ hơn giữ trạng thái gắn với một địa chỉ không còn áp dụng.

Ưu tiên một đường được bảo vệ khác mỗi khi yêu cầu là bảo vệ liên tục. Ở nơi một ngoại lệ không được bảo vệ thực sự cần thiết, hãy giới hạn nó bằng nguồn, đích, dịch vụ và thời hạn, rồi ghi lại cách nó được rút lại.

Kiểm tra cả hai trạng thái, không chỉ sự cố

Việc chấp nhận bao gồm trường hợp đường hầm thất bại và trường hợp đã khôi phục, với một kiểm tra ứng dụng trên mỗi trường hợp. Kết quả thú vị không phải là các gói tin tiếp tục di chuyển, mà là chúng chỉ di chuyển dưới hợp đồng mà tổ chức đã chọn.

Hãy thêm cả bài kiểm tra rút lại. Một miễn trừ mà không ai có thể tắt đã âm thầm trở thành chính sách vĩnh viễn, và đó chính là điều mà quy tắc ban đầu bảo vệ chống lại. Hãy đặt ngày hết hạn và một người đánh giá có tên, nếu không miễn trừ đó sẽ sống lâu hơn tất cả những ai đã hiểu nó.