Tenez deux registres de routes dans un labo IPsec : sous-jacent et protégé

Deux questions s’emmêlent dans un labo IPsec : comment un paquet atteint l’adresse extérieure du pair et comment il atteint les réseaux privés derrière ce pair. Elles relèvent de registres séparés, parce que des processus de routage différents y répondent et qu’elles échouent avec des symptômes différents. Tenez le registre sous-jacent pour les points de terminaison externes et les prochains sauts qui les atteignent. Tenez le registre superposé pour les préfixes protégés, leurs passerelles et le chemin prévu dans le tunnel. L’essentiel de la confusion au labo vient d’une route qui existe légitimement dans un registre et qu’on lit comme une preuve sur l’autre.

Deux registres, deux questions

Les registres restent assez courts pour être tenus à la main tant que le labo est petit, et c’est précisément là qu’ils sont le plus utiles. Deux colonnes suffisent : ce qu’est l’entrée et comment on y accède.

Écrivez les deux sens. Un préfixe qui figure dans le registre sortant et pas dans celui du retour produit un tunnel qui porte les requêtes et laisse tomber les réponses. Cet état à moitié fonctionnel est le résultat le plus courant au labo, et il est facile de le prendre pour un problème de politique.

Écrivez la destination avant le protocole

Commencez par les destinations, pas par les protocoles. Pour chaque passerelle, notez l’adresse externe et le prochain saut qui l’atteint. Notez ensuite chaque préfixe privé, sa passerelle locale et le chemin qu’il devrait suivre dans le tunnel.

Le faire avant de choisir un protocole de routage garde la discussion honnête. La conception arrive avec des exigences, pas avec des préférences. Le débat sur le protocole à exécuter devient alors une question sur l’exigence qui est réellement difficile.

Statique ou dynamique, décidé par registre

Le routage statique côté transport est généralement juste dans un labo : deux extrémités, un prochain saut, rien à faire converger. Le côté privé peut raisonnablement être dynamique, car les préfixes vont et viennent avec l’exercice. Faire tourner un protocole de routage côté transport et un autre côté privé ne vous oblige pas à redistribuer entre eux, et traiter la redistribution mutuelle comme un prérequis pour IPsec est où les labos commencent à produire des résultats que personne ne peut expliquer.

Décidez les deux registres séparément et notez lequel est dynamique. Une seule réponse pour les deux côtés signifie généralement que les deux questions n’ont jamais vraiment été séparées.

La redistribution est une frontière de politique

Là où les routes doivent se croiser, faites du croisement une politique avec des préfixes nommés, un sens, un traitement de métrique et une protection contre les boucles. Les listes de préfixes et les cartes de routes vous donnent les quatre, et les étiquettes gardent une route redistribuée identifiable après qu’elle a perdu son contexte d’origine. Lisez la sémantique attentivement, car elles ne sont pas interchangeables : un refus ACL dans une clause de correspondance signifie que la route ne correspond pas et que l’évaluation continue, tandis qu’une séquence de refus dans une carte de routes empêche tout à fait la route d’être redistribuée. Le guide des cartes de routes de redistribution couvre ces clauses et les changements d’attributs qui les accompagnent.

Comparez ensuite la table de routage obtenue avec les deux registres. Un labo qui commence à transmettre après une redistribution large a démontré une atteignabilité, pas une intention. Toute entrée de table absente des deux registres signifie que l’export est plus large que la conception, et chaque annonce ultérieure hérite de cette ambiguïté.

Gardez l’exemple de sécurité aussi à jour que le routage

Les anciens tutoriels qui reposent sur des algorithmes faibles ou un secret de démonstration partagé sont des observations historiques. Les copier dans un labo que vous comptez étendre, c’est ainsi que des valeurs par défaut faibles survivent en production. Utilisez la politique prise en charge par la plateforme et notez la version testée, car le labo survit au tutoriel.

Acceptez un flux approuvé d’hôte à hôte, son trafic de retour et une destination qui doit rester hors du périmètre de protection. Enregistrez la source de la route et les sélecteurs négociés avec chaque résultat, afin que le compte rendu montre quelle couche a été prouvée plutôt que quelle couche se trouvait être active.

Quand quelque chose casse, le registre indique quelle couche ouvrir. Pas d’atteignabilité du pair, c’est le transport ; pas de route interne, c’est le chemin privé ; et une route qui existe sans sélecteur correspondant, c’est la politique. Trois phrases, un diagnostic, aucune devinette.