در آزمایشگاه IPsec دو دفتر مسیر نگه دارید: لایه زیرین و مسیرهای محافظت‌شده
دو دفتر: یکی به همتا می‌رسد، دیگری پیشوندهای خصوصی را حمل می‌کند. هر دو را پیگیری کنید و بازتوزیع را تصمیمی سیاستی بدانید، نه میان‌بر.
دو پرسش در آزمایشگاه IPsec گره می‌خورند: این‌که بسته چگونه به نشانی بیرونی همتا می‌رسد و این‌که چگونه به شبکه‌های خصوصی پشت آن همتا می‌رسد. این دو به دفترهای جداگانه تعلق دارند، چون فرایندهای مسیریابی متفاوتی به آن‌ها پاسخ می‌دهند و با نشانه‌های متفاوتی شکست می‌خورند. دفتر لایه زیرین را برای نقاط پایانی بیرونی و گام‌های بعدی که به آن‌ها می‌رسند نگه دارید. دفتر لایه بالایی را برای پیشوندهای محافظت‌شده، دروازه‌هایشان و مسیر موردنظر از میان تونل نگه دارید. بیشتر سردرگمی آزمایشگاه از این می‌آید که مسیری که به‌طور مشروع در یک دفتر وجود دارد، به‌عنوان شاهد درباره دفتر دیگر خوانده شود.
دو دفتر، دو پرسش
دفترها تا زمانی که آزمایشگاه کوچک است به‌اندازه‌ای کوتاه می‌مانند که با دست نگه داشته شوند، و دقیقاً همان زمان بیشترین سود را دارند. دو ستون کافی است: این‌که ورودی چیست و چگونه به آن می‌رسند.
| Ledger | What it lists |
|---|---|
| Underlay | Each gateway's external address and the next hop that reaches it |
| Protected | Each private prefix, its local gateway and its intended path through the tunnel |
هر دو جهت را بنویسید. پیشوندی که در دفتر خروج هست و در دفتر بازگشت نیست، تونلی می‌سازد که درخواست‌ها را حمل می‌کند و پاسخ‌ها را می‌اندازد. این حالت نیمه‌کاره رایج‌ترین نتیجه آزمایشگاه است و به‌راحتی با یک مشکل سیاستی اشتباه گرفته می‌شود.
مقصد را پیش از پروتکل بنویسید
با مقصدها شروع کنید، نه با پروتکل‌ها. برای هر دروازه، نشانی بیرونی و گام بعدی‌ای که به آن می‌رسد را ثبت کنید. سپس هر پیشوند خصوصی، دروازه محلی‌اش و مسیری که باید از تونل بگذارد را ثبت کنید.
انجام این کار پیش از انتخاب پروتکل مسیریابی گفت‌وگو را صادقانه نگه می‌دارد. طرح با الزامات می‌آید، نه با ترجیح‌ها. بحث درباره این‌که کدام پروتکل اجرا شود، آن‌گاه به پرسشی درباره این‌که کدام الزام واقعاً دشوار است تبدیل می‌شود.
ایستا یا پویا، برای هر دفتر جداگانه
مسیریابی ایستا در سمت حمل‌ونقل معمولاً در آزمایشگاه درست است: دو نقطه پایانی، یک گام بعدی، چیزی برای همگرایی نیست. سمت خصوصی می‌تواند به‌طور معقول پویا باشد، چون پیشوندها با تمرین می‌آیند و می‌روند. اجرای یک پروتکل مسیریابی در سمت حمل‌ونقل و پروتکل دیگری در سمت خصوصی شما را به بازتوزیع میان آن‌ها ملزم نمی‌کند، و دانستن بازتوزیع متقابل به‌عنوان پیش‌نیاز IPsec همان جایی است که آزمایشگاه‌ها شروع به تولید نتایجی می‌کنند که هیچ‌کس نمی‌تواند توضیح دهد.
درباره دو دفتر جداگانه تصمیم بگیرید و یادداشت کنید کدام پویاست. یک پاسخ برای هر دو سمت معمولاً یعنی دو پرسش هرگز واقعاً از هم جدا نشده‌اند.
بازتوزیع یک مرز سیاستی است
جایی که مسیرها باید یکدیگر را قطع کنند، گذرگاه را به سیاستی با پیشوندهای نام‌دار، جهت، رفتار متریک و محافظ حلقه تبدیل کنید. فهرست‌های پیشوند و نقشه‌های مسیر هر چهار مورد را به شما می‌دهند، و برچسب‌ها مسیر بازتوزیع‌شده را پس از از دست دادن بافت اصلی‌اش قابل‌شناسایی نگه می‌دارند. معناشناسی را با دقت بخوانید، چون این‌ها جایگزین یکدیگر نیستند: رد ACL درون یک بند تطبیق یعنی مسیر تطبیق نمی‌یابد و ارزیابی ادامه می‌یابد، حال آن‌که دنباله رد در یک نقشه مسیر اصلاً اجازه بازتوزیع مسیر را نمی‌دهد. راهنمای نقشه‌های مسیر بازتوزیع همان بندها و تغییرهای ویژگی‌ای را که با آن‌ها می‌آید پوشش می‌دهد.
سپس جدول مسیریابی حاصل را با هر دو دفتر مقایسه کنید. آزمایشگاهی که پس از بازتوزیع گسترده شروع به ارسال می‌کند، دسترس‌پذیری را نشان داده است، نه قصد را. هر ورودی جدول که در هیچ‌یک از دو دفتر نمی‌آید یعنی برون‌بری از طرح گسترده‌تر است، و هر اعلان بعدی همان ابهام را به ارث می‌برد.
نمونه امنیتی را به‌روز مثل مسیریابی نگه دارید
راهنماهای قدیمی که به الگوریتم‌های ضعیف یا رمز نمایشی مشترک تکیه می‌کنند، مشاهده‌های تاریخی‌اند. کپی کردن آن‌ها در آزمایشگاهی که می‌خواهید گسترش دهید، همان راهی است که پیش‌فرض‌های ضعیف در محیط تولید زنده می‌مانند. از سیاست پشتیبانی‌شده سکو استفاده کنید و نسخه‌ای را که آزموده‌اید یادداشت کنید، چون آزمایشگاه از آموزش بیشتر عمر می‌کند.
یک جریان تأییدشده میزبان‌به‌میزبان، ترافیک بازگشتش و یک مقصد را که باید بیرون از دامنه حفاظت بماند بپذیرید. منبع مسیر و انتخابگرهای مذاکره‌شده را همراه هر نتیجه ذخیره کنید، تا سابقه نشان دهد کدام لایه اثبات شد، نه کدام لایه تصادفاً فعال بود.
وقتی چیزی می‌شکند، دفتر می‌گوید کدام لایه را باز کنید. نبود دسترسی به همتا حمل‌ونقل است، نبود مسیر درونی مسیر خصوصی است، و مسیری که بدون انتخابگر تطبیق‌دهنده وجود دارد سیاست است. سه جمله، یک تشخیص، بدون حدس.