Schreibe den Paketpfad, bevor du das VPN konfigurierst

Die meisten VPN-Aufbauten beginnen mit einem Client und einem Profil, und wenn der Tunnel steht, kann niemand mehr sagen, welches Paket ihn hätte passieren sollen. Die erste Seite Arbeit ist billiger als die dritte Stunde Fehlersuche: Beschreibe eine beabsichtigte Verbindung von Ende zu Ende, auf Papier, bevor eine Konfigurationsdatei existiert. Die Übung klärt meist eine Frage, die du noch nicht gestellt hattest, etwa ob die Anforderung ein Internet-Ausgang, ein Fernzugriff auf ein Subnetz oder eine Verbindung zwischen zwei Standorten ist.

Eine Verbindung reicht zum Anfang. Drei Seiten Topologie verbergen meist dieselbe fehlende Antwort.

Beschreibe eine Anfrage, kein Diagramm

Beginne mit dem Absender: ein Adressbereich, eine Adressfamilie und die Anwendung, die den Verkehr erzeugt. Dann benenne das Zielpräfix und den Dienst darauf, bis hin zu Port und Protokoll, denn eine Regel, die das Subnetz, aber nicht den Dienst erlaubt, ist eine Regel, die nichts bewirkt. Die beiden Adressen sind der ganze Punkt, und alles darunter ist die Maschinerie, die zu ihnen passen muss.

Liste den Pfad der Reihe nach auf: die physische Strecke, den VPN-Endpunkt an jedem Ende, den Tunnel selbst und das Netzwerk dahinter. Schreibe die Schnittstellennamen hin, wenn du sie kennst, denn dieses Detail macht aus einer Beschreibung etwas, das du später mit einer Routing-Tabelle vergleichen kannst. Ergänze die Adresse, die jede Schnittstelle auf der Tunnel-Seite verwendet. Ohne diese zwei Angaben kann niemand sonst das Protokoll gegen das Gerät prüfen.

Benenne nun die eine beabsichtigte Verbindung in einem einzigen Satz oben auf der Seite. Braucht dieser Satz das Wort oder, hast du zwei Entwürfe und solltest sie getrennt behandeln.

Verfolge die Antwort vor der Anfrage

Ein Pfad, der nur die ausgehende Richtung beschreibt, ist ein halbes Dokument. Verfolge die Antwort zurück und bestimme, welches Gerät den Bereich des Absenders kennt, ob eine Übersetzung die Quelle auf dem Weg nach draußen ändert und wo das Rückpaket voraussichtlich eintreffen soll. Die Antwort ist der Punkt, an dem die meisten Aufbauten scheitern, weil die Anfrage leicht zu beobachten ist und die Antwort nicht.

Notiere jede Adressübersetzung ausdrücklich, einschließlich wo sie stattfindet und was das andere Ende dann sieht. Ein Peer, der eine Adresse protokolliert und zu einer anderen routet, beschreibt zwei verschiedene Entwürfe.

Behandle die Namensauflösung als eigenen Austausch und nicht als Teil der Route der Anwendung. Ein interner Eintrag braucht vielleicht einen Resolver, der nur durch den Tunnel erreichbar ist, und ein Pfadprotokoll, das am Anwendungspräfix endet, wird das nicht zeigen. Dasselbe gilt für jede Zertifikatsprüfung, die vom Erreichen einer internen Autorität abhängt.

Gib jeder Entscheidung einen Verantwortlichen

Schreibe für jede Route, jede Firewall-Regel, jeden Selektor und jede Anmeldeinformation auf, welche Konfiguration sie enthält und welche Person sie ändern darf. Ein Verantwortlicher pro Zeile ist das, was das Dokument die erste Änderungsanfrage überstehen lässt, denn die Alternative ist ein Dokument, das die Absicht beschreibt, und ein Netzwerk, das die Geschichte beschreibt.

Achte auf zwei Verantwortliche für einen Standard. Ein Client-Skript und ein Netzwerk-Manager können beide Routen einrichten, ohne dass einer vom anderen weiß, und eine Gateway-Listener-Erlaubnis ist nicht dieselbe Berechtigung wie Weiterleitung. Beide Fälle erzeugen ein Pfadprotokoll, das auf dem Papier korrekt und auf der Leitung falsch ist.

Wo ein Wert von einem Anbieter statt von dir entschieden wird, schreibe das in derselben Zeile. Ein Präfix, das eine Hosting-Firma delegiert, hat einen anderen Änderungsprozess als eines, das du selbst gewählt hast. Diese Notiz erspart dem nächsten Ingenieur ein Support-Ticket während eines Vorfalls. Sie erklärt auch, warum eine Änderung, die du genehmigt hast, keine Wirkung hatte.

Beschreibe, was bricht, und wie du dich erholst

Sage für jede Stufe des Pfads, was stoppt, wenn der Tunnel verschwindet, und welche ausgehende Verbindung erreichbar bleiben muss, damit du das reparieren kannst. Ein Entwurf, der seinen Verwaltungszugang zusammen mit dem Tunnel verliert, ist ein Entwurf, der einen Besuch vor Ort erfordert.

Full-Tunnel und Split-Tunnel gehören als ausdrückliche Wahl auf diese Seite und nicht als Kontrollkästchen, weil sie sowohl den Fehlermodus als auch den Wiederherstellungspfad ändern.

Benenne einen harmlosen Test für jede Stufe

Erreichbarkeit des Endpunkts, Aufbau des Tunnels, private Adresse, privater Name und Anwendungsberechtigung sind fünf verschiedene Beobachtungen, und jede braucht einen Test, der nicht mit einem anderen verwechselt werden kann. Ein Ping zum Gateway beweist höchstens die ersten beiden. Eine Verbindung zum Anwendungsport beweist die vierte und fünfte nur, wenn der Name über den vorgesehenen Resolver aufgelöst wurde.

Schreibe den Test neben die Stufe, die er abdeckt, einschließlich des Befehls und der erwarteten Ausgabe. Eine Seite genauer Pfade schlägt eine Seite von Befehlen, die nie sagt, welche Pakete sie beeinflussen sollten.