Hold to rutejournaler i et IPsec-laboratorium: underlag og beskyttet

To spørgsmål filtrer sig sammen i et IPsec-laboratorium: hvordan en pakke når modpartens ydre adresse, og hvordan den når de private netværk bag denne modpart. De hører i adskilte journaler, fordi forskellige routingprocesser svarer på dem, og de fejler med forskellige symptomer. Hold underlagsjournalen for eksterne endepunkter og de næste hop, der når dem. Hold overlejringsjournalen for beskyttede præfikser, deres gateways og den tilsigtede vej gennem tunnelen. Det meste forvirring i laboratoriet kommer af, at en rute, der med rette findes i den ene journal, læses som bevis om den anden.

To journaler, to spørgsmål

Journalerne forbliver korte nok til at føre i hånden, mens laboratoriet er lille, og det er netop, når de er mest nyttige. To kolonner er nok: hvad posten er, og hvordan den nås.

Skriv begge retninger. Et præfiks, der optræder i udgående journal og ikke i returjournalen, giver en tunnel, der bærer forespørgsler og taber svar. Den halvt fungerende tilstand er det mest almindelige resultat i laboratoriet, og den forveksles let med et politikproblem.

Skriv destinationen før protokollen

Begynd med destinationer i stedet for protokoller. For hver gateway skal du notere den ydre adresse og det næste hop, der når den. Noter derefter hvert private præfiks, dets lokale gateway og den vej, det bør tage gennem tunnelen.

At gøre det, før en routingprotokol vælges, holder diskussionen ærlig. Designet ankommer med krav i stedet for præferencer. Argumentet om, hvilken protokol der skal køres, bliver så et spørgsmål om, hvilket krav der faktisk er svært.

Statisk eller dynamisk, afgjort pr. journal

Statisk routing på transportsiden er normalt rigtigt i et laboratorium: to endepunkter, ét næste hop, intet at konvergere. Den private side kan med rimelighed være dynamisk, fordi præfikser kommer og går med øvelsen. At køre én routingprotokol på transportsiden og en anden på den private side forpligter dig ikke til at omfordele mellem dem, og at behandle gensidig omfordeling som en forudsætning for IPsec er, hvor laboratorier begynder at producere resultater, ingen kan forklare.

Beslut de to journaler hver for sig, og noter hvilken der er dynamisk. Ét svar for begge sider betyder normalt, at de to spørgsmål aldrig rigtig blev adskilt.

Omfordeling er en politikgrænse

Hvor ruter skal krydse, gør krydsningen til en politik med navngivne præfikser, retning, metrikbehandling og en løkkeværn. Præfikslisten og rutekort giver dig alle fire, og tags holder en omfordelt rute identificerbar, efter den har mistet sin oprindelige kontekst. Læs semantikken omhyggeligt, fordi de ikke er udskiftelige: et ACL-afslag inde i en matchklausul betyder, at ruten ikke matcher, og evalueringen fortsætter, mens en afslagssekvens i et rutekort stopper ruten fra at blive omfordelt overhovedet. Vejledningen til rutekort for omfordeling dækker disse klausuler og de attributændringer, der følger med dem.

Sammenlign derefter den resulterende routingtabel med begge journaler. Et laboratorium, der begynder at videresende efter bred omfordeling, har demonstreret rækkevidde frem for hensigt. Enhver tabelpost, der ikke findes i nogen af journalerne, betyder, at eksporten er bredere end designet, og hver senere annoncering arver denne tvetydighed.

Hold sikkerhedseksemplet lige så aktuelt som routingen

Gamle gennemgange, der bygger på svage algoritmer eller en delt demonstrationshemmelighed, er historiske observationer. At kopiere dem ind i et laboratorium, du vil udvide, er, hvordan svage standardindstillinger overlever i produktion. Brug platformens understøttede politik, og noter den version, du testede, fordi laboratoriet lever længere end tutorialen.

Accepter én godkendt værts-til-vært-strøm, dens returtrafik og én destination, der skal forblive uden for beskyttelsesomfanget. Gem rutekilden og de forhandlede selektorer med hvert resultat, så registreringen viser, hvilket lag der blev bevist, frem for hvilket lag der tilfældigvis var oppe.

Når noget går i stykker, fortæller journalen, hvilket lag du skal åbne. Ingen nåbarhed til modparten er transport, ingen indre rute er privat vej, og en rute, der findes uden matchende selektor, er politik. Tre sætninger, én diagnose, ingen gætteri.