Tenu du vojregistrojn en IPsec-laboratorio: suba kaj protektita
Du registrojn: unu atingas la partneron, la alia portas la privatajn prefiksojn. Spuru ambaŭ, kaj traktu redistribuon kiel politikan decidon, ne kiel fuŝvojon.
Du demandoj implikiĝas en IPsec-laboratorio: kiel paketo atingas la eksteran adreson de la partnero, kaj kiel ĝi atingas la privatajn retojn malantaŭ tiu partnero. Ili apartenas al apartaj registroj, ĉar malsamaj enkursigaj procezoj respondas ilin kaj ili misfunkcias kun malsamaj simptomoj. Tenu la suban registron por eksteraj finpunktoj kaj la sekvaj saltetoj, kiuj atingas ilin. Tenu la superan registron por protektitaj prefiksoj, iliaj enirejoj kaj la celita vojo tra la tunelo. Plej multe da konfuzo en la laboratorio venas de tio, ke vojo, kiu laŭleĝe ekzistas en unu registro, estas legata kiel pruvo pri la alia.
Du registroj, du demandoj
La registro restas sufiĉe mallonga por esti tenata permane dum la laboratorio estas malgranda, kaj ĝuste tiam ĝi estas plej utila. Du kolumnoj sufiĉas: kio estas la ero, kaj kiel oni atingas ĝin.
| Ledger | What it lists |
|---|---|
| Underlay | Each gateway's external address and the next hop that reaches it |
| Protected | Each private prefix, its local gateway and its intended path through the tunnel |
Skribu ambaŭ direktojn. Prefikso, kiu aperas en la elira registro kaj ne en la revena, kreas tunelon, kiu portas petojn kaj faligas respondojn. Tiu duone funkcianta stato estas la plej ofta rezulto en la laboratorio, kaj ĝi facile konfuziĝas kun politika problemo.
Skribu la celon antaŭ la protokolo
Komencu per celoj, ne per protokoloj. Por ĉiu enirejo, notu la eksteran adreson kaj la sekvan salteton, kiu atingas ĝin. Poste notu ĉiun privatan prefikson, ĝian lokan enirejon kaj la vojon, kiun ĝi devus preni tra la tunelo.
Fari tion antaŭ ol elekti enkursigan protokolon tenas la diskuton honesta. La dezajno alvenas kun postuloj anstataŭ kun preferoj. La argumento pri tio, kiun protokolon ruli, tiam fariĝas demando pri tio, kiu postulo efektive estas malfacila.
Statika aŭ dinamika, decidita per registro
Statika enkursigado ĉe la transporta flanko kutime ĝustas en laboratorio: du finpunktoj, unu sekva salteto, nenio por konverĝi. La privata flanko povas racie esti dinamika, ĉar prefiksoj venas kaj foriras kun la ekzerco. Ruli unu enkursigan protokolon ĉe la transporta flanko kaj alian ĉe la privata ne devigas vin redistribui inter ili, kaj trakti reciprokan redistribuon kiel antaŭkondiĉon por IPsec estas ĝuste tie, kie laboratorioj komencas produkti rezultojn, kiujn neniu povas klarigi.
Decidu la du registrojn aparte kaj notu, kiu estas dinamika. Unu respondo por ambaŭ flankoj kutime signifas, ke la du demandoj neniam vere disiĝis.
Redistribuo estas politika limo
Kie vojoj devas kruciĝi, faru la kruciĝon politiko kun nomitaj prefiksoj, direkto, metrika traktado kaj bukla gardanto. Prefikslistoj kaj vojmapoj donas al vi ĉiujn kvar, kaj etikedoj tenas redistribuitan vojon identigebla post kiam ĝi perdis sian originan kuntekston. Legu la semantikon atente, ĉar ili ne estas interŝanĝeblaj: ACL-malpermeso ene de kongrua klaŭzo signifas, ke la vojo ne kongruas kaj la pritakso daŭras, dum malpermesa sinsekvo en vojmapo tute haltigas la redistribuon de la vojo. La gvidilo pri vojmapoj por redistribuo kovras tiujn klaŭzojn kaj la atributajn ŝanĝojn, kiuj akompanas ilin.
Poste komparu la rezultan enkursigan tabelon kun ambaŭ registroj. Laboratorio, kiu komencas plusendi post vasta redistribuo, pruvis atingeblon anstataŭ intencon. Ĉiu tabela ero, kiu aperas en neniu el la du registroj, signifas, ke la eksporto estas pli larĝa ol la dezajno, kaj ĉiu posta anonco heredas tiun ambiguecon.
Tenu la sekurecan ekzemplon same aktuala kiel la enkursigado
Malnovaj gvidiloj, kiuj fidas malfortajn algoritmojn aŭ komunan demonstran sekreton, estas historiaj observoj. Kopii ilin en laboratorion, kiun vi intencas etendi, estas kiel malfortaj difaŭltoj postvivas en produktado. Uzu la politikon subtenatan de la platformo kaj notu la version, kiun vi testis, ĉar la laboratorio vivas pli longe ol la lernilo.
Akceptu unu aprobitan fluon de gastiganto al gastiganto, ĝian revenan trafikon, kaj unu cellokon, kiu devas resti ekster la protekta amplekso. Konservu la fonton de la vojo kaj la intertraktitajn selektilojn kun ĉiu rezulto, por ke la registro montru, kiu tavolo estis pruvita, ne kiu tavolo hazarde funkciis.
Kiam io rompiĝas, la registro diras al vi, kiun tavolon malfermi. Neniu atingeblo al la partnero estas transporto, neniu interna vojo estas privata vojo, kaj vojo, kiu ekzistas sen kongrua selektilo, estas politiko. Tri frazoj, unu diagnozo, neniu divenado.