Pidage kahte marsruudiraamatut IPsec-laboris: aluskiht ja kaitstud
Kaks raamatut: üks jõuab partnerini, teine kannab privaatseid prefikseid. Jälgige mõlemat ja käsitlege ümberjagamist poliitikaotsusena, mitte otseteena.
IPsec-laboris põimuvad kaks küsimust: kuidas pakett jõuab partneri välisaadressile ja kuidas see jõuab selle partneri taga olevatesse privaatsetesse võrkudesse. Need kuuluvad eraldi raamatutesse, sest neile vastavad erinevad marsruutimisprotsessid ja need nurjuvad erinevate sümptomitega. Pidage aluskihi raamatut väliste lõpp-punktide ja neid jõudvate järgmiste hüpete jaoks. Pidage ülemkihi raamatut kaitstud prefiksite, nende lüüside ja tunnelist läbi mineva kavandatud tee jaoks. Suurem osa labori segadusest tuleb sellest, et ühes raamatus seaduslikult olemas olevat marsruuti loetakse tõendiks teise kohta.
Kaks raamatut, kaks küsimust
Raamatud jäävad käsitsi pidamiseks piisavalt lühikeseks, kuni labor on väike, ja just siis on need kõige kasulikumad. Kahest veerust piisab: mis kirje on ja kuidas selleni jõutakse.
| Ledger | What it lists |
|---|---|
| Underlay | Each gateway's external address and the next hop that reaches it |
| Protected | Each private prefix, its local gateway and its intended path through the tunnel |
Kirjutage mõlemad suunad. Prefiks, mis esineb väljaminevas raamatus ja mitte tagasituleku raamatus, loob tunneli, mis kannab päringuid ja pillab vastuseid. See pooltöötav seisund on laboris kõige tavalisem tulemus ja seda aetakse kergesti segi poliitikaprobleemiga.
Kirjutage sihtkoht enne protokolli
Alustage sihtkohtadest, mitte protokollidest. Iga lüüsi jaoks kirjutage üles välisaadress ja järgmine hüpe, mis selleni jõuab. Seejärel kirjutage üles iga privaatne prefiks, selle kohalik lüüs ja tee, mille see peaks tunnelist läbi võtma.
Selle tegemine enne marsruutimisprotokolli valimist hoiab arutelu ausana. Kavand tuleb nõuetega, mitte eelistustega. Vaidlus selle üle, millist protokolli käivitada, muutub siis küsimuseks, milline nõue on tegelikult raske.
Staatiline või dünaamiline, otsustatakse raamatu kaupa
Staatiline marsruutimine transpordi poolel on laboris tavaliselt õige: kaks lõpp-punkti, üks järgmine hüpe, midagi ei ole konvergeerida. Privaatne pool võib mõistlikult olla dünaamiline, sest prefiksid tulevad ja lähevad koos harjutusega. Ühe marsruutimisprotokolli käitamine transpordi poolel ja teise privaatsel poolel ei kohusta teid nende vahel ümber jagama, ja vastastikuse ümberjagamise käsitlemine IPsec-i eeltingimusena on koht, kus laborid hakkavad andma tulemusi, mida keegi ei suuda seletada.
Otsustage kaks raamatut eraldi ja märkige, milline on dünaamiline. Üks vastus mõlemale poolele tähendab tavaliselt, et kahte küsimust ei eraldatud kunagi tegelikult.
Ümberjagamine on poliitikapiir
Kus marsruudid peavad ristuma, tehke ristumisest poliitika nimetatud prefiksite, suuna, mõõdiku töötlemise ja tsüklikaitsega. Prefiksite loendid ja marsruudikaardid annavad teile kõik neli ning sildid hoiavad ümberjagatud marsruudi tuvastatavana ka pärast algse konteksti kaotamist. Lugege semantikat hoolikalt, sest need ei ole vahetatavad: ACL-i keeld kattuvusklauslis tähendab, et marsruut ei kattu ja hindamine jätkub, samas kui marsruudikaardi keelujada peatab marsruudi ümberjagamise täielikult. Ümberjagamise marsruudikaartide juhend katab need klauslid ja nendega kaasnevad atribuudimuudatused.
Seejärel võrrelge saadud marsruutimistabelit mõlema raamatuga. Labor, mis hakkab pärast laia ümberjagamist edasi saatma, on tõestanud kättesaadavust, mitte kavatsust. Iga tabelikirje, mida kummaski raamatus pole, tähendab, et eksport on kavandist laiem, ja iga hilisem kuulutus pärbib selle ebaselguse.
Hoidke turbenäide sama ajakohasena kui marsruutimine
Vanad õpetused, mis toetuvad nõrkadele algoritmidele või jagatud demonstratsioonisaladusele, on ajaloolised tähelepanekud. Nende kopeerimine laborisse, mida kavatsete laiendada, on viis, kuidas nõrgad vaikeväärtused tootmises ellu jäävad. Kasutage platvormi toetatud poliitikat ja märkige üles versioon, mida testisite, sest labor elab õpetusest kauem.
Võtke vastu üks heakskiidetud host-host-voog, selle tagasiliiklus ja üks sihtkoht, mis peab jääma kaitseulatusest välja. Salvestage marsruudi allikas ja läbi räägitud selektorid iga tulemusega, et kirje näitaks, milline kiht tõestati, mitte milline kiht juhtus olema üleval.
Kui midagi katkeb, ütleb raamat, millist kihti avada. Partneri kättesaadavuse puudumine on transport, sisemise marsruudi puudumine on privaatne tee, ja marsruut, mis on olemas ilma sobiva selektorita, on poliitika. Kolm lauset, üks diagnoos, mingit oletamist.