Napište cestu paketu dřív, než nakonfigurujete VPN

Většina staveb VPN začíná klientem a profilem, a když tunel stojí, nikdo nedokáže říct, který paket jím měl projít. První stránka práce je levnější než třetí hodina ladění: popište jedno zamýšlené spojení od začátku do konce na papíře, než existuje konfigurační soubor. Cvičení obvykle vyřeší otázku, kterou jste si ještě nepoložili, třeba zda je požadavkem výstup do internetu, vzdálený přístup k podsíti nebo propojení mezi dvěma lokalitami.

Na začátek stačí jedno spojení. Tři stránky topologie obvykle skrývají stejnou chybějící odpověď.

Popište jeden požadavek, ne diagram

Začněte u odesílatele: rozsah adres, rodina adres a aplikace, která provoz vytváří. Potom pojmenujte prefix cíle a službu na něm, až po port a protokol, protože pravidlo, které povoluje podsíť, ale ne službu, je pravidlo, které nic nedělá. Dvě adresy jsou celý smysl a vše pod nimi je mechanismus, který s nimi musí souhlasit.

Vypište cestu v pořadí: fyzické propojení, koncový bod VPN na každé straně, samotný tunel a síť za ním. Napište názvy rozhraní, pokud je znáte, protože právě tento detail mění popis v něco, co můžete později porovnat s routovací tabulkou. Přidejte adresu, kterou každé rozhraní používá na straně tunelu. Bez těchto dvou faktů nikdo jiný nemůže záznam zkontrolovat proti zařízení.

Nyní pojmenujte jediné zamýšlené spojení v jedné větě v horní části stránky. Pokud ta věta potřebuje slovo nebo, máte dva návrhy a měli byste je řešit odděleně.

Sledujte odpověď před požadavkem

Cesta, která popisuje jen odchozí směr, je polovina dokumentu. Sledujte odpověď zpět a zjistěte, které zařízení zná rozsah odesílatele, zda překlad mění zdroj na cestě ven a kde se očekává vstup zpátečního paketu. Právě na odpovědi selhává většina staveb, protože požadavek lze snadno pozorovat a odpověď ne.

Výslovně poznamenejte každý překlad adres, včetně toho, kde se děje a co potom vidí vzdálený konec. Partner, který zaznamenává jednu adresu a směruje na jinou, popisuje dva odlišné návrhy.

Překlad názvů berte jako samostatnou výměnu, ne jako součást cesty aplikace. Interní záznam může potřebovat překladač dostupný jen tunelem a záznam cesty, který se zastaví na prefixu aplikace, to neodhalí. Totéž platí pro jakékoli ověření certifikátu, které závisí na dosažení interní autority.

Každému rozhodnutí dejte vlastníka

Pro každou trasu, pravidlo firewallu, selektor a přihlašovací údaj zapište, která konfigurace ho drží a která osoba ho může změnit. Vlastník na řádek je to, co dokumentu umožní přežít první žádost o změnu, protože alternativou je dokument, který popisuje záměr, a síť, která popisuje historii.

Dávejte pozor na dva vlastníky jedné výchozí hodnoty. Klientský skript a správce sítě mohou oba nainstalovat trasy, aniž by o sobě věděli, a povolení k naslouchání na bráně není totéž povolení jako předávání. Oba případy vedou k záznamu cesty, který je správný na papíře a špatný na kabelu.

Tam, kde hodnotu určuje poskytovatel a ne vy, řekněte to na stejném řádku. Prefix delegovaný hostingovou společností má jiný proces změny než ten, který jste zvolili sami. Ta poznámka ušetří dalšímu inženýrovi podpůrný tiket během incidentu. Vysvětluje také, proč změna, kterou jste schválili, neměla žádný účinek.

Popište, co se pokazí a jak se zotavíte

Pro každou etapu cesty uveďte, co se zastaví, když tunel zmizí, a které odchozí spojení musí zůstat dosažitelné, abyste to mohli opravit. Návrh, který ztratí přístup ke správě spolu s tunelem, je návrh, který vyžaduje návštěvu na místě.

Plný tunel a rozdělený tunel patří na tuto stránku jako výslovná volba, a ne jako zaškrtávací pole, protože mění režim selhání i cestu obnovy.

Pojmenujte neškodný test pro každou etapu

Dostupnost koncového bodu, vytvoření tunelu, privátní adresa, privátní název a oprávnění aplikace je pět různých pozorování a každé potřebuje test, který nelze zaměnit s jiným. Ping na bránu prokáže nanejvýš první dvě. Spojení na port aplikace prokáže čtvrté a páté jen tehdy, pokud bylo jméno přeloženo zamýšleným překladačem.

Napište test vedle etapy, kterou pokrývá, včetně příkazu a očekávaného výstupu. Stránka přesných cest porazí stránku příkazů, která nikdy neřekne, na které pakety měly působit.