Запішыце шлях пакета да налады VPN

Большасць зборак VPN пачынаецца з кліента і профілю, і на момант, калі тунель падняты, ніхто ўжо не можа сказаць, які пакет павінен быў прайсці праз яго. Першая старонка працы таннейшая за трэцюю гадзіну адладкі: апішыце адно меркаванае злучэнне ад пачатку да канца, на паперы, да таго як з’явіцца файл канфігурацыі. Практыкаванне звычайна зачыняе пытанне, якое вы яшчэ не паставілі, напрыклад: патрабаванне — гэта выхад у інтэрнэт, аддалены доступ да падсеткі ці канал паміж дзвюма пляцоўкамі.

Аднаго злучэння дастаткова для пачатку. Тры старонкі тапалогіі звычайна хаваюць той жа адсутны адказ.

Апішыце адзін запыт, а не схему

Пачніце з адпраўніка: дыяпазон адрасоў, сямейства адрасоў і праграма, якая спараджае трафік. Далей назавіце прэфікс прызначэння і службу на ім, аж да порта і пратакола, бо правіла, якое дазваляе падсетку, але не службу, — гэта правіла, якое нічога не робіць. Два адрасы — гэта ўся сутнасць, а ўсё ніжэй — механізмы, якія павінны з імі ўзгадняцца.

Пералічыце шлях па парадку: фізічны канал, канчатковы пункт VPN на кожным баку, сам тунель і сетка за ім. Запішыце імёны інтэрфейсаў, калі ведаеце іх, бо менавіта гэтая дэталь ператварае апісанне ў нешта, што потым можна зверыць з табліцай маршрутызацыі. Дадайце адрас, які кожны інтэрфейс выкарыстоўвае з боку тунеля. Без гэтых двух фактаў ніхто іншы не зможа праверыць запіс адносна прылады.

Цяпер назавіце адзінае меркаванае злучэнне адной фразай у верхняй частцы старонкі. Калі гэтай фразе патрэбна слова або, у вас два праекты, і іх трэба разглядаць асобна.

Сачыце за адказам раней запыту

Шлях, які апісвае толькі выходны кірунак, — гэта палова дакумента. Прасачыце адказ назад і вызначыце, якая прылада ведае дыяпазон адпраўніка, ці змяняе трансляцыя крыніцу на выхадзе і дзе чакаецца ўваход зваротнага пакета. Менавіта на адказе ламаецца большасць зборак, бо запыт лёгка назіраць, а адказ — не.

Яўна адзначце любую трансляцыю адрасоў, у тым ліку дзе яна адбываецца і што потым бачыць далёкі бок. Партнёр, які журналюе адзін адрас, а маршрутызуе на іншы, апісвае два розныя праекты.

Разглядайце развязанне імёнаў як асобны абмен, а не як частку маршруту праграмы. Унутранаму запісу можа спатрэбіцца рэзалвер, даступны толькі праз тунель, і запіс шляху, які спыняецца на прэфіксе праграмы, гэтага не пакажа. Тое ж тычыцца любой праверкі сертыфіката, якая залежыць ад дасягнення ўнутранага цэнтра сертыфікацыі.

У кожнага рашэння павінен быць уласнік

Для кожнага маршруту, правіла брандмаўэра, селектара і ўліковых даных запішыце, якая канфігурацыя іх захоўвае і які чалавек можа іх змяніць. Уласнік у кожным радку — гэта тое, што дазваляе дакументу перажыць першы запыт на змену, бо альтэрнатыва — дакумент, які апісвае намер, і сетка, якая апісвае гісторыю.

Сцеражыцеся двух уласнікаў аднаго значэння па змаўчанні. Кліенцкі скрыпт і сеткавы менеджар могуць абодва ўсталёўваць маршруты, не ведаючы адзін пра аднаго, а дазвол на праслухоўванне на шлюзе — не той самы дазвол, што і перасыланне. Абодва выпадкі даюць запіс шляху, правільны на паперы і памылковы на кабелі.

Там, дзе значэнне вызначае правайдэр, а не вы, скажыце гэта ў тым самым радку. У прэфікса, дэлегаванага хостынгавай кампаніяй, іншы працэс змены, чым у выбранага вамі самі. Гэтая нататка эканоміць наступнаму інжынеру зварот у падтрымку падчас інцыдэнту. Яна таксама тлумачыць, чаму ўхваленая вамі змена не дала эфекту.

Апішыце, што ламаецца і як вы аднаўляецеся

Для кожнага этапу шляху ўкажыце, што спыняецца, калі тунель знікае, і якое выходное злучэнне павінна заставацца даступным, каб вы маглі гэта паправіць. Праект, які губляе доступ кіравання разам з тунелем, — гэта праект, які патрабуе выезду на месца.

Поўны тунель і падзелены тунель належаць да гэтай старонкі як яўны выбар, а не як сцяжок, бо яны змяняюць і рэжым адмовы, і шлях аднаўлення.

Назавіце бесшкодную праверку для кожнага этапу

Дасяжнасць канчатковага пункта, устанаўленне тунеля, прыватны адрас, прыватнае імя і дазвол праграмы — гэта пяць розных назіранняў, і кожнаму патрэбна праверка, якую нельга зблытаць з іншай. Пінг да шлюза даказвае ў лепшым выпадку першыя два. Падключэнне да порта праграмы даказвае чацвёртае і пятае, толькі калі імя развязалася праз меркаваны рэзалвер.

Запішыце праверку побач з этапам, які яна пакрывае, уключна з камандай і чаканым вывадам. Старонка дакладных шляхоў лепшая за старонку каманд, якая ніколі не кажа, на якія пакеты яны павінны былі ўплываць.