Manteña dous libros de rutas nun laboratorio IPsec: subxacente e protexido
Dous libros: un chega ao par, outro transporta os prefixos privados. Siga ambos e trate a redistribución como unha decisión de política, non como un atallo.
Dúas preguntas enrédanse nun laboratorio IPsec: como chega un paquete ao enderezo exterior do par e como chega ás redes privadas detrás dese par. Pertencen a libros separados, porque distintos procesos de encamiñamento as responden e fallan con síntomas distintos. Manteña o libro subxacente para os extremos externos e os seguintes saltos que chegan a eles. Manteña o libro superposto para os prefixos protexidos, as súas pasarelas e o camiño previsto polo túnel. A maior parte da confusión do laboratorio vén de ler unha ruta que existe lexitimamente nun libro como proba sobre o outro.
Dous libros, dúas preguntas
Os libros mantéñense abondo curtos para levalos á man mentres o laboratorio é pequeno, que é xusto cando son máis útiles. Dúas columnas abondan: que é a entrada e como se chega a ela.
| Ledger | What it lists |
|---|---|
| Underlay | Each gateway's external address and the next hop that reaches it |
| Protected | Each private prefix, its local gateway and its intended path through the tunnel |
Escriba as dúas direccións. Un prefixo que aparece no libro de saída e non no de retorno produce un túnel que transporta peticións e descarta respostas. Ese estado a medias é o resultado máis común no laboratorio e confúndese facilmente cun problema de política.
Escriba o destino antes do protocolo
Comece polos destinos, non polos protocolos. Para cada pasarela, anote o enderezo externo e o seguinte salto que chega a ela. Despois anote cada prefixo privado, a súa pasarela local e a ruta que debería seguir polo túnel.
Facelo antes de elixir un protocolo de encamiñamento mantén honesta a discusión. O deseño chega con requisitos, non con preferencias. A discusión sobre que protocolo executar convértese entón nunha pregunta sobre que requisito é realmente difícil.
Estático ou dinámico, decidido por libro
O encamiñamento estático no lado do transporte adoita ser correcto nun laboratorio: dous extremos, un seguinte salto, nada que converxer. O lado privado pode ser razoablemente dinámico, porque os prefixos van e veñen co exercicio. Executar un protocolo de encamiñamento no lado do transporte e outro no privado non o obriga a redistribuír entre eles, e tratar a redistribución mutua como requisito previo para IPsec é onde os laboratorios comezan a producir resultados que ninguén pode explicar.
Decida os dous libros por separado e anote cal é dinámico. Unha soa resposta para ambos os lados normalmente significa que as dúas preguntas nunca se separaron de verdade.
A redistribución é unha fronteira de política
Onde as rutas deban cruzarse, faga do cruzamento unha política con prefixos nomeados, dirección, tratamento de métrica e protección de bucles. As listas de prefixos e os mapas de rutas danlle as catro cousas, e as etiquetas manteñen identificable unha ruta redistribuída despois de perder o contexto orixinal. Lea a semántica con coidado, porque non son intercambiables: unha denegación ACL dentro dunha cláusula de coincidencia significa que a ruta non coincide e a avaliación continúa, mentres que unha secuencia de denegación nun mapa de rutas impide que a ruta se redistribúa de todo. A guía de mapas de rutas de redistribución cobre esas cláusulas e os cambios de atributos que as acompañan.
Despois compare a táboa de encamiñamento resultante cos dous libros. Un laboratorio que comeza a reenviar tras unha redistribución ampla demostrou alcance, non intención. Calquera entrada da táboa que non apareza en ningún dos dous libros significa que a exportación é máis ampla que o deseño, e cada anuncio posterior herda esa ambigüidade.
Manteña o exemplo de seguridade tan actual como o encamiñamento
Os percorridos antigos que se apoian en algoritmos febles ou nun segredo de demostración compartido son observacións históricas. Copialos nun laboratorio que pretende ampliar é como os valores por defecto febles sobreviven en produción. Use a política que admite a plataforma e anote a versión que probou, porque o laboratorio sobrevive ao titorial.
Acepte un fluxo aprobado de host a host, o seu tráfico de retorno e un destino que debe quedar fóra do alcance da protección. Garde a orixe da ruta e os selectores negociados con cada resultado, para que o rexistro mostre que capa se demostrou en lugar de que capa estaba activa por casualidade.
Cando algo rompe, o libro di que capa abrir. Sen alcance ata o par é transporte, sen ruta interna é camiño privado, e unha ruta que existe sen selector coincidente é política. Tres frases, un diagnóstico, ningunha adiviña.