Дръжте два регистъра на маршрути в IPsec лаборатория: основен и защитен

В IPsec лаборатория се заплитат два въпроса: как пакетът достига външния адрес на партньора и как достига частните мрежи зад този партньор. Те принадлежат на отделни регистри, защото различни процеси на маршрутизация отговарят на тях и те се провалят с различни симптоми. Дръжте регистъра на основния слой за външните крайни точки и следващите хопове, които ги достигат. Дръжте регистъра на горния слой за защитените префикси, техните шлюзове и предвидения път през тунела. Повечето объркване в лабораторията идва от това маршрут, който законно съществува в единия регистър, да се чете като доказателство за другия.

Два регистъра, два въпроса

Регистрите остават достатъчно кратки, за да се поддържат на ръка, докато лабораторията е малка, а точно тогава са най-полезни. Две колони са достатъчни: какво представлява записът и как се достига.

Записвайте и двете посоки. Префикс, който се появява в изходящия регистър и липсва във връщащия, създава тунел, който носи заявки и изпуска отговори. Това полуработещо състояние е най-честият резултат в лабораторията и лесно се бърка с проблем в политиката.

Запишете дестинацията преди протокола

Започнете с дестинации, а не с протоколи. За всеки шлюз запишете външния адрес и следващия хоп, който го достига. След това запишете всеки частен префикс, неговия локален шлюз и пътя, който трябва да поеме през тунела.

Правенето на това преди избора на протокол за маршрутизация запазва дискусията честна. Дизайнът идва с изисквания, а не с предпочитания. Спорът кой протокол да се пусне тогава се превръща във въпрос кое изискване всъщност е трудно.

Статично или динамично, решава се за всеки регистър

Статичната маршрутизация от транспортната страна обикновено е правилна в лаборатория: две крайни точки, един следващ хоп, нищо за сближаване. Частната страна може разумно да е динамична, защото префиксите идват и си отиват с упражнението. Пускането на един протокол за маршрутизация от транспортната страна и друг от частната не ви задължава да преразпределяте между тях, и третирането на взаимното преразпределение като предпоставка за IPsec е мястото, където лабораториите започват да дават резултати, които никой не може да обясни.

Решете двата регистъра поотделно и отбележете кой е динамичен. Един отговор за двете страни обикновено означава, че двата въпроса никога не са били наистина разделени.

Преразпределението е граница на политиката

Където маршрутите трябва да се пресекат, направете пресичането политика с именувани префикси, посока, обработка на метрика и защита от цикли. Списъците с префикси и картите на маршрути ви дават и четирите, а таговете запазват преразпределения маршрут разпознаваем, след като е загубил първоначалния си контекст. Четете семантиката внимателно, защото те не са взаимозаменяеми: отказ на ACL в клауза за съвпадение означава, че маршрутът не съвпада и оценката продължава, докато последователност за отказ в карта на маршрути спира маршрута да бъде преразпределен изобщо. Ръководството за карти на маршрути при преразпределение покрива тези клаузи и промените на атрибутите, които вървят с тях.

След това сравнете получената таблица за маршрутизация с двата регистъра. Лаборатория, която започне да препраща след широко преразпределение, е демонстрирала достъпност, а не намерение. Всеки запис в таблицата, който не се появява в нито един от регистрите, означава, че експортът е по-широк от дизайна, и всяко следващо обявяване наследява тази неяснота.

Поддържайте примера за сигурност толкова актуален, колкото и маршрутизацията

Старите ръководства, които разчитат на слаби алгоритми или на споделена демонстрационна тайна, са исторически наблюдения. Копирането им в лаборатория, която смятате да разширите, е начинът, по който слабите настройки по подразбиране оцеляват в производството. Използвайте поддържаната от платформата политика и записвайте версията, която сте тествали, защото лабораторията живее по-дълго от урока.

Приемете един одобрен поток от хост до хост, неговия обратен трафик и една дестинация, която трябва да остане извън обхвата на защита. Запазвайте източника на маршрута и договорените селектори с всеки резултат, така че записът да показва кой слой е доказан, а не кой слой случайно е бил активен.

Когато нещо се счупи, регистърът ви казва кой слой да отворите. Липсата на достъпност до партньора е транспорт, липсата на вътрешен маршрут е частен път, а маршрут, който съществува без съответен селектор, е политика. Три изречения, една диагноза, без догадки.