Vodite dvije evidencije ruta u IPsec laboratoriji: podloga i zaštićeno

Dva pitanja se zapetljaju u IPsec laboratoriji: kako paket stiže do vanjske adrese partnera i kako stiže do privatnih mreža iza tog partnera. Oni pripadaju odvojenim evidencijama, jer na njih odgovaraju različiti procesi rutiranja i padaju s različitim simptomima. Vodite evidenciju podloge za vanjske krajnje točke i sljedeće skokove koji do njih vode. Vodite evidenciju nadgradnje za zaštićene prefikse, njihove pristupnike i predviđenu putanju kroz tunel. Većina zbrke u laboratoriji dolazi od toga da se ruta koja zakonito postoji u jednoj evidenciji čita kao dokaz o drugoj.

Dvije evidencije, dva pitanja

Evidencije ostaju dovoljno kratke da se vode ručno dok je laboratorija mala, a upravo tada su najkorisnije. Dovoljna su dva stupca: što je unos i kako se do njega dolazi.

Zapišite oba smjera. Prefiks koji se pojavljuje u izlaznoj evidenciji, a ne u povratnoj, stvara tunel koji nosi zahtjeve i ispušta odgovore. To poluispravno stanje najčešći je ishod u laboratoriji i lako se zamijeni za problem politike.

Zapišite odredište prije protokola

Počnite s odredištima, a ne s protokolima. Za svaki pristupnik zapišite vanjsku adresu i sljedeći skok koji do njega vodi. Zatim zapišite svaki privatni prefiks, njegov lokalni pristupnik i putanju koju treba proći kroz tunel.

Činiti to prije odabira protokola rutiranja čuva raspravu iskrenom. Dizajn dolazi sa zahtjevima, a ne s preferencijama. Rasprava o tome koji protokol pokrenuti tada postaje pitanje koji je zahtjev doista težak.

Statično ili dinamično, odlučuje se po evidenciji

Statično rutiranje na prometnoj strani obično je ispravno u laboratoriji: dvije krajnje točke, jedan sljedeći skok, ništa za konvergirati. Privatna strana može razumno biti dinamična, jer prefiksi dolaze i odlaze s vježbom. Pokretanje jednog protokola rutiranja na prometnoj strani i drugog na privatnoj ne obvezuje vas na preraspodjelu između njih, a tretiranje uzajamne preraspodjele kao preduvjeta za IPsec jest mjesto gdje laboratorije počinju proizvoditi rezultate koje nitko ne može objasniti.

Odlučite o dvjema evidencijama odvojeno i zabilježite koja je dinamična. Jedan odgovor za obje strane obično znači da dva pitanja nikada nisu bila doista razdvojena.

Preraspodjela je granica politike

Gdje se rute moraju križati, učinite križanje politikom s imenovanim prefiksima, smjerom, obradom metrike i zaštitom od petlji. Popisi prefiksa i karte ruta daju sve četiri, a oznake drže preraspodijeljenu rutu prepoznatljivom nakon što izgubi izvorni kontekst. Pažljivo čitajte semantiku, jer one nisu zamjenjive: ACL zabrana unutar uvjeta podudaranja znači da se ruta ne podudara i procjena se nastavlja, dok slijed zabrane u karti ruta potpuno zaustavlja preraspodjelu rute. Vodič za karte ruta preraspodjele pokriva te uvjete i promjene atributa koje idu s njima.

Zatim usporedite dobivenu tablicu rutiranja s obje evidencije. Laboratorija koja počne prosljeđivati nakon široke preraspodjele pokazala je dostupnost, a ne namjeru. Svaki unos u tablici koji se ne pojavljuje ni u jednoj evidenciji znači da je izvoz širi od dizajna, a svaka kasnija objava nasljeđuje tu dvosmislenost.

Držite sigurnosni primjer aktualnim kao i rutiranje

Stari vodiči koji se oslanjaju na slabe algoritme ili zajedničku demonstracijsku tajnu povijesna su zapažanja. Kopiranje u laboratoriju koju namjeravate proširiti način je na koji slabe zadane postavke preživljavaju u produkciji. Koristite politiku koju platforma podržava i zabilježite verziju koju ste testirali, jer laboratorija nadživi vodič.

Prihvatite jedan odobren tok od hosta do hosta, njegov povratni promet i jedno odredište koje mora ostati izvan opsega zaštite. Sačuvajte izvor rute i pregovorane selektore uz svaki rezultat, tako da zapis pokazuje koji je sloj dokazan, a ne koji je sloj slučajno bio aktivan.

Kad se nešto pokvari, evidencija kaže koji sloj otvoriti. Nema dostupnosti partnera jest promet, nema unutarnje rute jest privatna putanja, a ruta koja postoji bez odgovarajućeg selektora jest politika. Tri rečenice, jedna dijagnoza, bez nagađanja.