Mantenga dos libros de rutas en un laboratorio IPsec: subyacente y protegido

Dos preguntas se enredan en un laboratorio IPsec: cómo llega un paquete a la dirección exterior del par y cómo llega a las redes privadas detrás de ese par. Pertenecen a libros separados, porque distintos procesos de enrutamiento las responden y fallan con síntomas distintos. Mantenga el libro subyacente para los extremos externos y los siguientes saltos que llegan a ellos. Mantenga el libro superpuesto para los prefijos protegidos, sus pasarelas y la ruta prevista por el túnel. La mayor parte de la confusión del laboratorio viene de leer una ruta que existe legítimamente en un libro como prueba sobre el otro.

Dos libros, dos preguntas

Los libros se mantienen lo bastante cortos para llevarlos a mano mientras el laboratorio es pequeño, que es justo cuando son más útiles. Dos columnas bastan: qué es la entrada y cómo se llega a ella.

Escriba ambas direcciones. Un prefijo que aparece en el libro de salida y no en el de retorno produce un túnel que transporta peticiones y descarta respuestas. Ese estado a medias es el resultado más común en el laboratorio y se confunde fácilmente con un problema de política.

Escriba el destino antes del protocolo

Empiece por los destinos, no por los protocolos. Para cada pasarela, anote la dirección externa y el siguiente salto que llega a ella. Después anote cada prefijo privado, su pasarela local y la ruta que debería seguir por el túnel.

Hacerlo antes de elegir un protocolo de enrutamiento mantiene honesta la discusión. El diseño llega con requisitos, no con preferencias. La discusión sobre qué protocolo ejecutar se convierte entonces en una pregunta sobre qué requisito es realmente difícil.

Estático o dinámico, decidido por libro

El enrutamiento estático en el lado de transporte suele ser correcto en un laboratorio: dos extremos, un siguiente salto, nada que converger. El lado privado puede ser razonablemente dinámico, porque los prefijos van y vienen con el ejercicio. Ejecutar un protocolo de enrutamiento en el lado de transporte y otro en el privado no le obliga a redistribuir entre ellos, y tratar la redistribución mutua como requisito previo para IPsec es donde los laboratorios empiezan a producir resultados que nadie puede explicar.

Decida los dos libros por separado y anote cuál es dinámico. Una sola respuesta para ambos lados suele significar que las dos preguntas nunca se separaron de verdad.

La redistribución es una frontera de política

Donde las rutas deban cruzarse, haga del cruce una política con prefijos nombrados, dirección, tratamiento de métrica y protección de bucles. Las listas de prefijos y los mapas de rutas le dan las cuatro cosas, y las etiquetas mantienen identificable una ruta redistribuida después de haber perdido su contexto original. Lea la semántica con cuidado, porque no son intercambiables: una denegación ACL dentro de una cláusula de coincidencia significa que la ruta no coincide y la evaluación continúa, mientras que una secuencia de denegación en un mapa de rutas impide del todo que la ruta se redistribuya. La guía de mapas de rutas de redistribución cubre esas cláusulas y los cambios de atributos que las acompañan.

Luego compare la tabla de enrutamiento resultante con ambos libros. Un laboratorio que empieza a reenviar tras una redistribución amplia ha demostrado alcance, no intención. Cualquier entrada de la tabla que no aparezca en ninguno de los dos libros significa que la exportación es más amplia que el diseño, y cada anuncio posterior hereda esa ambigüedad.

Mantenga el ejemplo de seguridad tan actual como el enrutamiento

Los recorridos antiguos que se apoyan en algoritmos débiles o en un secreto de demostración compartido son observaciones históricas. Copiarlos en un laboratorio que pretende ampliar es cómo los valores por defecto débiles sobreviven en producción. Use la política que admite la plataforma y anote la versión que probó, porque el laboratorio sobrevive al tutorial.

Acepte un flujo aprobado de host a host, su tráfico de retorno y un destino que debe quedar fuera del alcance de la protección. Guarde el origen de la ruta y los selectores negociados con cada resultado, para que el registro muestre qué capa se demostró en lugar de qué capa estaba activa por casualidad.

Cuando algo se rompe, el libro dice qué capa abrir. Sin alcance hasta el par es transporte, sin ruta interna es camino privado, y una ruta que existe sin selector coincidente es política. Tres frases, un diagnóstico, ninguna adivinanza.