Escribe o camiño do paquete antes de configurar a VPN

A maioría das instalacións de VPN comezan cun cliente e un perfil, e cando o túnel está levantado ninguén sabe que paquete debía atravesalo. A primeira páxina de traballo é máis barata que a terceira hora de depuración: describe unha conexión prevista de extremo a extremo, en papel, antes de que exista un ficheiro de configuración. O exercicio adoita resolver unha pregunta que aínda non fixeras, como se o requisito é unha saída a internet, un acceso remoto a unha subrede ou unha ligazón entre dous sitios.

Unha conexión abonda para comezar. Tres páxinas de topoloxía adoitan agochar a mesma resposta que falta.

Describe unha solicitude, non un diagrama

Comeza polo emisor: un rango de enderezos, unha familia de enderezos e a aplicación que orixina o tráfico. Despois nomea o prefixo de destino e o servizo que hai nel, ata o porto e o protocolo, porque unha regra que permite a subrede pero non o servizo é unha regra que non fai nada. Os dous enderezos son todo o asunto, e todo o que segue é a maquinaria que debe concordar con eles.

Enumera o camiño por orde: a ligazón física, o punto final da VPN en cada lado, o túnel mesmo e a rede que hai máis alá. Escribe os nomes das interfaces se os coñeces, porque ese detalle é o que converte unha descrición en algo que podes comparar despois cunha táboa de encamiñamento. Engade o enderezo que usa cada interface no lado do túnel. Sen eses dous datos, ninguén máis pode comprobar o rexistro contra o dispositivo.

Agora nomea a única conexión prevista nunha soa frase na parte superior da páxina. Se esa frase precisa a palabra ou, tes dous deseños e deberías tratalos por separado.

Segue a resposta antes da solicitude

Un camiño que só describe a dirección de saída é medio documento. Segue a resposta de volta e identifica que dispositivo coñece o rango do emisor, se unha tradución cambia a orixe na saída e onde se espera que entre o paquete de retorno. A resposta é onde fallan a maioría das instalacións, porque a solicitude é fácil de observar e a resposta non.

Anota explicitamente calquera tradución de enderezos, incluído onde ocorre e que ve entón o extremo remoto. Un par que rexistra un enderezo e encamiña cara a outro describe dous deseños diferentes.

Trata a resolución de nomes como un intercambio propio e non como parte da ruta da aplicación. Un rexistro interno pode necesitar un resolutor ao que só se chega polo túnel, e un rexistro de camiño que se detén no prefixo da aplicación non o revelará. O mesmo vale para calquera validación de certificados que dependa de acadar unha autoridade interna.

Dalle un responsable a cada decisión

Para cada ruta, regra de cortafogos, selector e credencial, anota que configuración a contén e que persoa pode cambiala. Un responsable por liña é o que fai que o documento sobreviva á primeira solicitude de cambio, porque a alternativa é un documento que describe a intención e unha rede que describe a historia.

Ollo con dous responsables dun mesmo valor por defecto. Un script de cliente e un xestor de rede poden instalar rutas os dous sen que un saiba do outro, e un permiso de escoita na pasarela non é o mesmo permiso que o encamiñamento. Os dous casos producen un rexistro de camiño correcto no papel e errado no cable.

Cando un valor o decide un provedor e non ti, dixo na mesma liña. Un prefixo delegado por unha empresa de aloxamento ten un proceso de cambio distinto do que escolliches ti. Esa nota aforra ao seguinte enxeñeiro un tícket de soporte durante un incidente. Tamén explica por que un cambio que aprobaches non tivo efecto.

Describe que se rompe e como te recuperas

Para cada etapa do camiño, indica que se detén cando desaparece o túnel e que conexión de saída debe seguir sendo alcanzable para que poidas arranxalo. Un deseño que perde o acceso de xestión xunto co túnel é un deseño que esixe unha visita ao sitio.

O túnel completo e o túnel dividido pertencen a esta páxina como unha elección explícita e non como unha caixa de selección, porque cambian tanto o modo de fallo como o camiño de recuperación.

Nomea unha proba inocua para cada etapa

A alcanzabilidade do punto final, o establecemento do túnel, o enderezo privado, o nome privado e o permiso da aplicación son cinco observacións diferentes, e cada unha necesita unha proba que non se poida confundir con outra. Un ping á pasarela demostra as dúas primeiras como moito. Unha conexión ao porto da aplicación demostra a cuarta e a quinta só se o nome se resolveu mediante o resolutor previsto.

Escribe a proba ao lado da etapa que cobre, incluído o comando e a saída esperada. Unha páxina de camiños precisos supera unha páxina de comandos que nunca di que paquetes debían afectar.