Hou twee roetelyste in ’n IPsec-laboratorium: onderlaag en beskermd

Twee vrae raak in ’n IPsec-laboratorium deurmekaar: hoe ’n pakkie die eweknie se buite-adres bereik, en hoe dit die private netwerke agter daardie eweknie bereik. Hulle hoort in afsonderlike roetelyste, want verskillende roeteringsprosesse beantwoord hulle en hulle faal met verskillende simptome. Hou die onderlaag-roetelys vir eksterne eindpunte en hulle volgende spronge. Hou die oorlaag-roetelys vir beskermde voorvoegsels, hulle poorte en die beoogde pad deur die tonnel. Die meeste verwarring in die laboratorium kom daarvan dat ’n roete wat wettig in een lys bestaan, as bewys oor die ander gelees word.

Twee roetelyste, twee vrae

Die roetelyste bly kort genoeg om met die hand by te hou terwyl die laboratorium klein is, en dit is juis wanneer hulle die nuttigste is. Twee kolomme is genoeg: wat die inskrywing is, en hoe dit bereik word.

Skryf albei rigtings. ’n Voorvoegsel wat in die uitgaande lys voorkom en nie in die terugkeerlys nie, lewer ’n tonnel wat versoeke dra en antwoorde laat val. Daardie halfwerkende toestand is die algemeenste uitkoms in die laboratorium, en dit word maklik as ’n beleidsprobleem misgis.

Skryf die bestemming voor die protokol

Begin met bestemmings eerder as protokolle. Teken vir elke poort die eksterne adres en die volgende sprong wat dit bereik aan. Teken dan elke private voorvoegsel, sy plaaslike poort en die pad wat dit deur die tonnel moet volg aan.

Om dit te doen voordat ’n roeteringsprotokol gekies word, hou die bespreking eerlik. Die ontwerp kom met vereistes eerder as voorkeure. Die argument oor watter protokol om te hardloop, word dan ’n vraag oor watter vereiste werklik moeilik is.

Staties of dinamies, per roetelys besluit

Statiese roetering aan die vervoerkant is gewoonlik reg in ’n laboratorium: twee eindpunte, een volgende sprong, niks om te konvergeer nie. Die private kant kan redelikerwys dinamies wees, want voorvoegsels kom en gaan saam met die oefening. Om een roeteringsprotokol aan die vervoerkant en ’n ander aan die private kant te hardloop, verplig jou nie om tussen hulle te herverdeel nie, en om wedersydse herverdeling as ’n voorvereiste vir IPsec te beskou, is waar laboratoriums resultate begin lewer wat niemand kan verduidelik nie.

Besluit die twee roetelyste afsonderlik en let op watter een dinamies is. Een antwoord vir albei kante beteken gewoonlik die twee vrae is nooit regtig geskei nie.

Herverdeling is ’n beleidsgrens

Waar roetes moet kruis, maak die kruising ’n beleid met benoemde voorvoegsels, rigting, metriese behandeling en ’n luswag. Voorvoegsellyste en roetekaarte gee jou al vier, en etikette hou ’n herverdeelde roete identifiseerbaar nadat dit sy oorspronklike konteks verloor het. Lees die semantiek noukeurig, want hulle is nie uitruilbaar nie: ’n ACL-weiering binne ’n pasklousule beteken die roete pas nie en evaluering gaan voort, terwyl ’n roetekaart-weieringsreeks die roete heeltemal verhinder om herverdeel te word. Die gids vir herverdelingsroetekaarte dek daardie klousules en die eienskapsveranderings wat daarmee saamgaan.

Vergelyk dan die resulterende roetertabel met albei roetelyste. ’n Laboratorium wat ná breë herverdeling begin aanstuur, het bereikbaarheid eerder as bedoeling gedemonstreer. Enige tabelinskrywing wat in nie een van die twee lyste voorkom nie, beteken die uitvoer is breër as die ontwerp, en elke latere aankondiging erf daardie dubbelsinnigheid.

Hou die sekuriteitsvoorbeeld net so aktueel soos die roetering

Ou deurloopgidse wat op swak algoritmes of ’n gedeelde demonstrasiegeheim staatmaak, is historiese waarnemings. Om hulle in ’n laboratorium te kopieer wat jy van plan is om uit te brei, is hoe swak verstekke in produksie bly voortleef. Gebruik die platform se ondersteunde beleid en teken die weergawe aan wat jy getoets het, want die laboratorium leef langer as die handleiding.

Aanvaar een goedgekeurde gasheer-tot-gasheer-vloei, sy terugkeerverkeer, en een bestemming wat buite die beskermingsomvang moet bly. Stoor die roetebron en die onderhandelde keuses by elke resultaat, sodat die rekord wys watter laag bewys is eerder as watter laag toevallig op was.

Wanneer iets breek, sê die roetelys watter laag om oop te maak. Geen eweknie-bereikbaarheid is vervoer, geen binneste roete is private pad, en ’n roete wat bestaan sonder ’n passende keuse is beleid. Drie sinne, een diagnose, geen raaiwerk nie.