Veďte dvě evidence tras v laboratoři IPsec: podkladovou a chráněnou

V laboratoři IPsec se pletou dvě otázky: jak se paket dostane k vnější adrese protějšku a jak se dostane k privátním sítím za tímto protějškem. Patří do oddělených evidencí, protože na ně odpovídají různé procesy směrování a selhávají s různými příznaky. Veďte evidenci podkladu pro vnější koncové body a další skoky, které k nim vedou. Veďte evidenci nadstavby pro chráněné prefixy, jejich brány a zamýšlenou cestu tunelem. Většina zmatku v laboratoři vzniká tím, že trasa, která v jedné evidenci oprávněně existuje, se čte jako důkaz o druhé.

Dvě evidence, dvě otázky

Evidence zůstávají dost krátké na ruční vedení, dokud je laboratoř malá, a právě tehdy jsou nejužitečnější. Stačí dva sloupce: co je záznam a jak se k němu dostane.

Zapište oba směry. Prefix, který je ve výstupní evidenci a není ve vratné, vytváří tunel, který nese požadavky a zahazuje odpovědi. Tento polofunkční stav je nejčastější výsledek laboratoře a snadno se zamění za problém politiky.

Napište cíl dřív než protokol

Začněte cíli, ne protokoly. U každé brány zaznamenejte vnější adresu a další skok, který k ní vede. Pak zaznamenejte každý privátní prefix, jeho místní bránu a cestu, kterou má projít tunelem.

Udělat to před volbou směrovacího protokolu udržuje diskusi poctivou. Návrh přichází s požadavky, ne s preferencemi. Hádka o tom, který protokol provozovat, se pak změní v otázku, který požadavek je skutečně obtížný.

Staticky, nebo dynamicky, rozhoduje se po evidencích

Statické směrování na transportní straně je v laboratoři obvykle správné: dva koncové body, jeden další skok, nic ke konvergenci. Privátní strana může být rozumně dynamická, protože prefixy s cvičením přicházejí a odcházejí. Provozování jednoho směrovacího protokolu na transportní straně a jiného na privátní straně vás nezavazuje k redistribuci mezi nimi, a považovat vzájemnou redistribuci za předpoklad pro IPsec je místo, kde laboratoře začínají produkovat výsledky, které nikdo nedokáže vysvětlit.

O obou evidencích rozhodněte odděleně a poznamenejte, která je dynamická. Jedna odpověď pro obě strany obvykle znamená, že se obě otázky nikdy skutečně neoddělily.

Redistribuce je hranice politiky

Tam, kde se trasy musí křížit, udělejte z křížení politiku s pojmenovanými prefixy, směrem, zpracováním metriky a ochranou proti smyčkám. Seznamy prefixů a mapy tras vám dají všechny čtyři, a značky udržují redistribuovanou trasu identifikovatelnou poté, co ztratila původní kontext. Čtěte sémantiku pozorně, protože nejsou zaměnitelné: zamítnutí ACL uvnitř klauzule shody znamená, že trasa neodpovídá a vyhodnocování pokračuje, zatímco sekvence zamítnutí v mapě tras zastaví redistribuci trasy úplně. Průvodce mapami tras pro redistribuci pokrývá tyto klauzule a změny atributů, které s nimi jdou.

Potom porovnejte výslednou směrovací tabulku s oběma evidencemi. Laboratoř, která po široké redistribuci začne předávat, prokázala dosažitelnost, ne záměr. Každý záznam v tabulce, který není v žádné z obou evidencí, znamená, že export je širší než návrh, a každé další oznámení tuto nejednoznačnost dědí.

Udržujte bezpečnostní příklad stejně aktuální jako směrování

Staré postupy spoléhající na slabé algoritmy nebo sdílené demonstrační tajemství jsou historická pozorování. Jejich kopírování do laboratoře, kterou chcete rozšířit, je způsob, jakým slabé výchozí hodnoty přežívají do produkce. Použijte politiku podporovanou platformou a poznamenejte verzi, kterou jste testovali, protože laboratoř přežije tutoriál.

Přijměte jeden schválený tok od hostitele k hostiteli, jeho zpětný provoz a jeden cíl, který musí zůstat mimo rozsah ochrany. U každého výsledku uložte zdroj trasy a vyjednané selektory, aby záznam ukazoval, která vrstva byla prokázána, a ne která vrstva náhodou běžela.

Když se něco rozbije, evidence řekne, kterou vrstvu otevřít. Žádná dosažitelnost protějšku je transport, žádná vnitřní trasa je privátní cesta a trasa, která existuje bez odpovídajícího selektoru, je politika. Tři věty, jedna diagnóza, žádné hádání.