Запишете пътя на пакета, преди да конфигурирате VPN

Повечето изграждания на VPN започват с клиент и профил и когато тунелът е вдигнат, никой не може да каже кой пакет е трябвало да мине през него. Първата страница работа е по-евтина от третия час отстраняване на грешки: опишете една предвидена връзка от край до край, на хартия, преди да съществува конфигурационен файл. Упражнението обикновено решава въпрос, който още не сте задали, например дали изискването е изход към интернет, отдалечен достъп до подмрежа или връзка между два обекта.

Една връзка е достатъчна за начало. Три страници топология обикновено крият същия липсващ отговор.

Опишете една заявка, не диаграма

Започнете с изпращача: диапазон от адреси, семейство адреси и приложението, което поражда трафика. След това назовете префикса на дестинацията и услугата върху него, надолу до порт и протокол, защото правило, което разрешава подмрежата, но не услугата, е правило, което не прави нищо. Двата адреса са целият смисъл, а всичко под тях е механизъм, който трябва да се съгласува с тях.

Изброете пътя по ред: физическата връзка, крайната точка на VPN от всяка страна, самият тунел и мрежата отвъд него. Запишете имената на интерфейсите, ако ги знаете, защото точно този детайл превръща описанието в нещо, което по-късно можете да сравните с таблица за маршрутизация. Добавете адреса, който всеки интерфейс използва от страната на тунела. Без тези два факта никой друг не може да провери записа спрямо устройството.

Сега назовете единствената предвидена връзка в едно изречение в горната част на страницата. Ако това изречение се нуждае от думата или, имате два проекта и трябва да ги третирате отделно.

Следете отговора преди заявката

Път, който описва само изходящата посока, е половината документ. Проследете отговора обратно и определете кое устройство знае диапазона на изпращача, дали транслация променя източника на изхода и къде се очаква да влезе върнатият пакет. Именно при отговора се провалят повечето изграждания, защото заявката е лесна за наблюдение, а отговорът не.

Отбележете изрично всяка транслация на адреси, включително къде се случва и какво вижда след това далечният край. Партньор, който записва един адрес, а маршрутизира към друг, описва два различни проекта.

Третирайте разрешаването на имена като отделен обмен, а не като част от пътя на приложението. Вътрешен запис може да се нуждае от резолвер, достъпен само през тунела, и запис на пътя, който спира при префикса на приложението, няма да го разкрие. Същото важи за всяка проверка на сертификат, която зависи от достигането на вътрешен орган.

Дайте на всяко решение собственик

За всеки маршрут, правило на защитната стена, селектор и идентификационни данни запишете коя конфигурация ги държи и кое лице може да ги промени. Собственик на всеки ред е това, което позволява на документа да преживее първата заявка за промяна, защото алтернативата е документ, който описва намерението, и мрежа, която описва историята.

Пазете се от двама собственици на една стойност по подразбиране. Клиентски скрипт и мрежов мениджър могат и двамата да инсталират маршрути, без единият да знае за другия, а разрешението за слушане на шлюза не е същото разрешение като препращането. И двата случая дават запис на пътя, който е верен на хартия и грешен по кабела.

Когато стойност се определя от доставчик, а не от вас, кажете го на същия ред. Префикс, делегиран от хостинг компания, има различен процес на промяна от избрания от вас самите. Тази бележка спестява на следващия инженер билет за поддръжка по време на инцидент. Тя също обяснява защо одобрена от вас промяна не е имала ефект.

Опишете какво се чупи и как се възстановявате

За всеки етап от пътя посочете какво спира, когато тунелът изчезне, и коя изходяща връзка трябва да остане достъпна, за да можете да го поправите. Проект, който губи достъпа си за управление заедно с тунела, е проект, който изисква посещение на място.

Пълният тунел и разделеният тунел принадлежат на тази страница като изричен избор, а не като отметка, защото променят и режима на отказ, и пътя за възстановяване.

Назовете безобиден тест за всеки етап

Достижимостта на крайната точка, установяването на тунела, частният адрес, частното име и разрешението на приложението са пет различни наблюдения и всяко се нуждае от тест, който не може да се обърка с друг. Пинг до шлюза доказва най-много първите две. Връзка към порта на приложението доказва четвъртото и петото само ако името е било разрешено през предвидения резолвер.

Запишете теста до етапа, който покрива, включително командата и очаквания изход. Страница с точни пътища побеждава страница с команди, която никога не казва върху кои пакети е трябвало да влияят.