Zwei Routenverzeichnisse in einem IPsec-Labor führen: Basisnetz und geschütztes Netz

Zwei Fragen verheddern sich in einem IPsec-Labor: wie ein Paket die Außenadresse des Partners erreicht und wie es die privaten Netze hinter diesem Partner erreicht. Sie gehören in getrennte Verzeichnisse, weil verschiedene Routingprozesse sie beantworten und sie mit unterschiedlichen Symptomen ausfallen. Führen Sie das Verzeichnis des Basisnetzes für externe Endpunkte und die nächsten Hops, die sie erreichen. Führen Sie das Verzeichnis der Überlagerung für geschützte Präfixe, ihre Gateways und den beabsichtigten Pfad durch den Tunnel. Der meiste Wirrwarr im Labor entsteht, wenn eine Route, die in einem Verzeichnis zu Recht steht, als Beleg über das andere gelesen wird.

Zwei Verzeichnisse, zwei Fragen

Die Verzeichnisse bleiben kurz genug, um sie von Hand zu pflegen, solange das Labor klein ist, und genau dann sind sie am nützlichsten. Zwei Spalten genügen: was der Eintrag ist und wie er erreicht wird.

Schreiben Sie beide Richtungen auf. Ein Präfix, das im ausgehenden Verzeichnis steht und im Rückverzeichnis fehlt, erzeugt einen Tunnel, der Anfragen trägt und Antworten fallen lässt. Dieser halb funktionierende Zustand ist das häufigste Laborergebnis und wird leicht für ein Politikproblem gehalten.

Schreiben Sie das Ziel vor dem Protokoll

Beginnen Sie mit Zielen statt mit Protokollen. Notieren Sie für jedes Gateway die Außenadresse und den nächsten Hop, der es erreicht. Notieren Sie dann jedes private Präfix, sein lokales Gateway und den Pfad, den es durch den Tunnel nehmen soll.

Das vor der Wahl eines Routingprotokolls zu tun, hält die Diskussion ehrlich. Das Design kommt mit Anforderungen statt mit Vorlieben. Der Streit darüber, welches Protokoll laufen soll, wird dann zur Frage, welche Anforderung wirklich schwierig ist.

Statisch oder dynamisch, pro Verzeichnis entschieden

Statisches Routing auf der Transportseite ist in einem Labor meist richtig: zwei Endpunkte, ein nächster Hop, nichts zu konvergieren. Die private Seite darf mit gutem Grund dynamisch sein, weil Präfixe mit der Übung kommen und gehen. Ein Routingprotokoll auf der Transportseite und ein anderes auf der privaten Seite zu betreiben, verpflichtet Sie nicht zur Umverteilung zwischen ihnen, und gegenseitige Umverteilung als Voraussetzung für IPsec zu behandeln, ist der Punkt, an dem Labore Ergebnisse zu liefern beginnen, die niemand erklären kann.

Entscheiden Sie die beiden Verzeichnisse getrennt und notieren Sie, welches dynamisch ist. Eine Antwort für beide Seiten bedeutet meist, dass die beiden Fragen nie wirklich getrennt wurden.

Umverteilung ist eine Politikgrenze

Wo Routen sich kreuzen müssen, machen Sie die Kreuzung zu einer Politik mit benannten Präfixen, Richtung, Metrikbehandlung und Schleifenschutz. Präfixlisten und Routenkarten geben Ihnen alle vier, und Tags halten eine umverteilte Route erkennbar, nachdem sie ihren ursprünglichen Kontext verloren hat. Lesen Sie die Semantik genau, denn sie sind nicht austauschbar: Ein ACL-Deny innerhalb einer Match-Klausel bedeutet, dass die Route nicht passt und die Auswertung weiterläuft, während eine Deny-Sequenz in einer Routenkarte die Route überhaupt nicht mehr umverteilen lässt. Der Leitfaden zu Routenkarten für die Umverteilung behandelt diese Klauseln und die Attributänderungen, die damit einhergehen.

Vergleichen Sie dann die resultierende Routing-Tabelle mit beiden Verzeichnissen. Ein Labor, das nach breiter Umverteilung mit dem Weiterleiten beginnt, hat Erreichbarkeit statt Absicht nachgewiesen. Jeder Tabelleneintrag, der in keinem der beiden Verzeichnisse auftaucht, bedeutet, dass der Export breiter als das Design ist, und jede spätere Ankündigung erbt diese Mehrdeutigkeit.

Halten Sie das Sicherheitsbeispiel so aktuell wie das Routing

Alte Anleitungen, die auf schwachen Algorithmen oder einem geteilten Demonstrationsgeheimnis beruhen, sind historische Beobachtungen. Sie in ein Labor zu kopieren, das Sie erweitern wollen, ist der Weg, auf dem schwache Voreinstellungen die Produktion überleben. Verwenden Sie die von der Plattform unterstützte Richtlinie und notieren Sie die getestete Version, denn das Labor lebt länger als das Tutorial.

Akzeptieren Sie einen genehmigten Host-zu-Host-Fluss, seinen Rückverkehr und ein Ziel, das außerhalb des Schutzbereichs bleiben muss. Speichern Sie die Routenquelle und die ausgehandelten Selektoren mit jedem Ergebnis, damit die Aufzeichnung zeigt, welche Schicht nachgewiesen wurde, statt welche Schicht zufällig aktiv war.

Wenn etwas bricht, sagt das Verzeichnis, welche Schicht zu öffnen ist. Keine Erreichbarkeit des Partners ist Transport, keine innere Route ist privater Pfad, und eine Route, die ohne passenden Selektor existiert, ist Politik. Drei Sätze, eine Diagnose, kein Raten.