Pidä kahta reittikirjaa IPsec-laboratoriossa: alusta ja suojattu
Kaksi kirjaa: toinen tavoittaa vastapuolen, toinen kantaa yksityiset etuliitteet. Seuraa molempia ja kohtele uudelleenjakelua politiikkapäätöksenä, älä oikotienä.
Kaksi kysymystä sotkeutuu IPsec-laboratoriossa: miten paketti saavuttaa vastapuolen ulkoisen osoitteen ja miten se saavuttaa kyseisen vastapuolen takana olevat yksityiset verkot. Ne kuuluvat erillisiin kirjoihin, koska eri reititysprosessit vastaavat niihin ja ne epäonnistuvat eri oirein. Pidä alustan kirjaa ulkoisille päätepisteille ja seuraaville hypyille, jotka saavuttavat ne. Pidä ylemmän kerroksen kirjaa suojatuille etuliitteille, niiden yhdyskäytäville ja aiotulle tunnelin läpi kulkevalle polulle. Suurin osa laboratorion sekaannuksesta syntyy siitä, että reittiä, joka on laillisesti yhdessä kirjassa, luetaan todisteeksi toisesta.
Kaksi kirjaa, kaksi kysymystä
Kirjat pysyvät tarpeeksi lyhyinä käsin ylläpidettäviksi, kun laboratorio on pieni, ja juuri silloin ne ovat hyödyllisimpiä. Kaksi saraketta riittää: mikä merkintä on ja miten sinne pääsee.
| Ledger | What it lists |
|---|---|
| Underlay | Each gateway's external address and the next hop that reaches it |
| Protected | Each private prefix, its local gateway and its intended path through the tunnel |
Kirjoita molemmat suunnat. Etuliite, joka on lähtevässä kirjassa eikä paluukirjassa, tuottaa tunnelin, joka kuljettaa pyynnöt ja pudottaa vastaukset. Tämä puoliksi toimiva tila on laboratorion yleisin lopputulos, ja se sekoitetaan helposti politiikkaongelmaan.
Kirjoita kohde ennen protokollaa
Aloita kohteista, älä protokollista. Kirjaa jokaiselle yhdyskäytävälle ulkoinen osoite ja seuraava hyppy, joka saavuttaa sen. Kirjaa sitten jokainen yksityinen etuliite, sen paikallinen yhdyskäytävä ja polku, joka sen pitäisi kulkea tunnelin läpi.
Tämän tekeminen ennen reititysprotokollan valintaa pitää keskustelun rehellisenä. Suunnittelu saapuu vaatimusten, ei mieltymysten kanssa. Väittely siitä, mitä protokollaa ajetaan, muuttuu silloin kysymykseksi siitä, mikä vaatimus on todella vaikea.
Staattinen vai dynaaminen, päätetään kirjakohtaisesti
Staattinen reititys kuljetuspuolella on laboratoriossa yleensä oikein: kaksi päätepistettä, yksi seuraava hyppy, ei mitään konvergoitavaa. Yksityinen puoli voi olla kohtuudella dynaaminen, koska etuliitteet tulevat ja menevät harjoituksen mukana. Yhden reititysprotokollan ajaminen kuljetuspuolella ja toisen yksityisellä puolella ei velvoita sinua uudelleenjakamaan niiden välillä, ja molemminpuolisen uudelleenjakelun pitäminen IPsecin edellytyksenä on se kohta, jossa laboratoriot alkavat tuottaa tuloksia, joita kukaan ei osaa selittää.
Päätä kaksi kirjaa erikseen ja merkitse, kumpi on dynaaminen. Yksi vastaus molemmille puolille tarkoittaa yleensä, että kahta kysymystä ei koskaan todella erotettu.
Uudelleenjako on politiikan raja
Missä reittien on ristettävä, tee risteyksestä politiikka nimetyillä etuliitteillä, suunnalla, metriikan käsittelyllä ja silmukkavahtina. Etuliiteluettelot ja reittikartat antavat kaikki neljä, ja tunnisteet pitävät uudelleenjaetun reitin tunnistettavana sen menetettyä alkuperäisen kontekstinsa. Lue semantiikka huolellisesti, koska ne eivät ole vaihdettavissa: ACL-kielto täsmäytyslauseen sisällä tarkoittaa, että reitti ei täsmää ja arviointi jatkuu, kun taas reittikartan kieltosarja estää reitin uudelleenjakamisen kokonaan. Uudelleenjaon reittikarttaopas kattaa nämä lauseet ja niihin liittyvät attribuuttimuutokset.
Vertaa sitten tuloksena olevaa reititystaulukkoa molempiin kirjoihin. Laboratorio, joka alkaa välittää laajan uudelleenjaon jälkeen, on osoittanut tavoitettavuutta, ei aikomusta. Jokainen taulukon merkintä, jota ei ole kummassakaan kirjassa, tarkoittaa, että vienti on suunnittelua laajempi, ja jokainen myöhempi ilmoitus perii tämän epäselvyyden.
Pidä turvaesimerkki yhtä ajantasaisena kuin reititys
Vanhat oppaat, jotka nojaavat heikkoihin algoritmeihin tai jaettuun esittelysalaisuuteen, ovat historiallisia havaintoja. Niiden kopioiminen laboratorioon, jota aiot laajentaa, on tapa, jolla heikot oletusarvot säilyvät tuotannossa. Käytä alustan tukemaa politiikkaa ja merkitse testaamasi versio, koska laboratorio elää opasta pidempään.
Hyväksy yksi hyväksytty isäntä-isäntä-virta, sen paluuliikenne ja yksi kohde, jonka on pysyttävä suojauksen ulkopuolella. Tallenna reitin lähde ja neuvotellut valitsimet jokaisen tuloksen kanssa, jotta tietue näyttää, mikä kerros todistettiin, eikä sitä, mikä kerros sattui olemaan käynnissä.
Kun jotain hajoaa, kirja kertoo, minkä kerroksen avata. Ei tavoitettavuutta vastapuoleen on kuljetus, ei sisäistä reittiä on yksityinen polku, ja reitti, joka on olemassa ilman täsmäävää valitsinta, on politiikka. Kolme lausetta, yksi diagnoosi, ei arvailua.