Трымайце два журналы маршрутаў у лабараторыі IPsec: базавы і абаронены

У лабараторыі IPsec блытаюцца два пытанні: як пакет дасягае знешняга адраса партнёра і як ён дасягае прыватных сетак за гэтым партнёрам. Яны належаць розным журналам, бо на іх адказваюць розныя працэсы маршрутызацыі і яны збайваюцца з рознымі сімптомамі. Трымайце журнал базавага ўзроўню для знешніх канчатковых пунктаў і наступных пераходаў, якія да іх вядуць. Трымайце журнал верхняга ўзроўню для абароненых прэфіксаў, іх шлюзаў і меркаванага шляху праз тунель. Большасць блытаніны ў лабараторыі ўзнікае тады, калі маршрут, які законна існуе ў адным журнале, чытаюць як доказ пра другі.

Два журналы, два пытанні

Журналы застаюцца дастаткова кароткімі, каб іх весці ўручную, пакуль лабараторыя малая, а менавіта тады яны найбольш карысныя. Двух слупкоў дастаткова: што гэта за запіс і як да яго дабрацца.

Запісвайце абодва кірункі. Прэфікс, які ёсць у журнале выхаду і адсутнічае ў журнале вяртання, стварае тунель, што пераносіць запыты і губляе адказы. Гэты паўпрацаздольны стан — самы часты вынік у лабараторыі, і яго лёгка паблытаць з праблемай палітыкі.

Запішыце прызначэнне раней за пратакол

Пачынайце з прызначэнняў, а не з пратаколаў. Для кожнага шлюза запішыце знешні адрас і наступны пераход, які да яго вядзе. Затым запішыце кожны прыватны прэфікс, яго лакальны шлюз і шлях, які ён павінен прайсці праз тунель.

Зрабіць гэта да выбару пратакола маршрутызацыі — значыць захаваць сумленную размову. Праект прыходзіць з патрабаваннямі, а не з перавагамі. Спрэчка пра тое, які пратакол запускаць, ператвараецца ў пытанне пра тое, якое патрабаванне сапраўды складанае.

Статычны ці дынамічны — вырашаецца для кожнага журнала

Статычная маршрутызацыя на баку транспарту ў лабараторыі звычайна правільная: два канчатковыя пункты, адзін наступны пераход, няма чаго збягацца. Прыватны бок можа быць дынамічным цалкам разумна, бо прэфіксы прыходзяць і сыходзяць разам з практыкаваннем. Запуск аднаго пратакола маршрутызацыі на баку транспарту і іншага на прыватным баку не абавязвае пераразмяркоўваць паміж імі, і менавіта стаўленне да ўзаемнага пераразмеркавання як да ўмовы для IPsec прыводзіць лабараторыі да вынікаў, якія ніхто не можа растлумачыць.

Вырашайце два журналы асобна і адзначце, які з іх дынамічны. Адзін адказ для абодвух бакоў звычайна азначае, што два пытанні так і не былі сапраўды раздзеленыя.

Пераразмеркаванне — гэта мяжа палітыкі

Там, дзе маршруты павінны перасякацца, зрабіце перасячэнне палітыкай з названымі прэфіксамі, кірункам, апрацоўкай метрыкі і абаронай ад цыклаў. Спісы прэфіксаў і карты маршрутаў даюць усе чатыры, а тэгі захоўваюць пераразмеркаваны маршрут пазнавальным пасля страты першапачатковага кантэксту. Чытайце семантыку ўважліва, бо яны не ўзаемазамяняльныя: забарона ACL унутры ўмовы супадзення азначае, што маршрут не супадае і ацэнка працягваецца, а паслядоўнасць забароны ў карце маршрутаў цалкам спыняе пераразмеркаванне маршрута. Кіраўніцтва па картах маршрутаў пераразмеркавання ахоплівае гэтыя ўмовы і змены атрыбутаў, што ідуць разам з імі.

Затым параўнайце атрыманую табліцу маршрутызацыі з абодвума журналамі. Лабараторыя, якая пачынае перасылаць пасля шырокага пераразмеркавання, даказала дасягальнасць, а не намер. Любы запіс у табліцы, якога няма ні ў адным журнале, азначае, што экспарт шырэйшы за праект, і кожнае наступнае аб'ява атрымлівае ў спадчыну гэтую неадназначнасць.

Трымайце прыклад бяспекі такім жа актуальным, як і маршрутызацыю

Старыя кіраўніцтвы, якія абапіраюцца на слабыя алгарытмы або агульны дэманстрацыйны сакрэт, ёсць гістарычнымі назіраннямі. Іх капіраванне ў лабараторыю, якую вы плануеце пашырыць, — гэта шлях, якім слабыя налады па змаўчанні выжываюць у вытворчасці. Выкарыстоўвайце падтрыманую платформай палітыку і запісвайце версію, якую вы правяралі, бо лабараторыя жыве даўжэй за падручнік.

Прыміце адзін узгоджаны паток ад хоста да хоста, яго зваротны трафік і адзін пункт прызначэння, які павінен застацца па-за межамі абароны. Захоўвайце крыніцу маршруту і ўзгодненыя селектары з кожным вынікам, каб запіс паказваў, які ўзровень быў даказаны, а не які ўзровень выпадкова працаваў.

Калі нешта ламаецца, журнал кажа, які ўзровень адкрываць. Няма дасягальнасці партнёра — гэта транспарт, няма ўнутранага маршруту — гэта прыватны шлях, а маршрут, які існуе без адпаведнага селектара, — гэта палітыка. Тры сказы, адзін дыягназ, без здагадак.