Két útvonalkönyv egy IPsec-laborban: alaphálózat és védett

Két kérdés gabalyodik össze egy IPsec-laborban: hogyan ér el egy csomag a partner külső címére, és hogyan ér el a partner mögötti privát hálózatokra. Külön könyvekbe tartoznak, mert más-más útválasztási folyamatok válaszolnak rájuk, és különböző tünetekkel hibáznak. Tartsa az alaphálózat könyvét a külső végpontokhoz és az őket elérő következő ugrásokhoz. Tartsa a felső réteg könyvét a védett prefixekhez, azok átjáróihoz és az alagúton át vezető tervezett úthoz. A labor zűrzavarának nagy része abból fakad, hogy egy útvonalat, amely az egyik könyvben jogosan létezik, a másikról szóló bizonyítékként olvasnak.

Két könyv, két kérdés

A könyvek elég rövidek maradnak ahhoz, hogy kézzel vezessék őket, amíg a labor kicsi, és éppen akkor a leghasznosabbak. Két oszlop elég: mi a bejegyzés, és hogyan érhető el.

Írja le mindkét irányt. Egy prefix, amely a kimenő könyvben szerepel, a visszatérőben nem, olyan alagutat hoz létre, amely kéréseket szállít és válaszokat ejt el. Ez a félig működő állapot a labor leggyakoribb eredménye, és könnyen politikai problémának nézik.

A célt írja le a protokoll előtt

Célokkal kezdje, ne protokollokkal. Minden átjárónál jegyezze fel a külső címet és az őt elérő következő ugrást. Ezután jegyezze fel minden privát prefixet, helyi átjáróját és az alagúton át vezető útvonalat.

Ha ezt az útválasztási protokoll kiválasztása előtt teszi, a vita őszinte marad. A terv követelményekkel érkezik, nem preferenciákkal. A vita arról, melyik protokoll fusson, ekkor azzá a kérdéssé válik, melyik követelmény igazán nehéz.

Statikus vagy dinamikus, könyvenként döntve

A statikus útválasztás a szállítási oldalon általában helyes egy laborban: két végpont, egy következő ugrás, semmi, ami konvergáljon. A privát oldal ésszerűen lehet dinamikus, mert a prefixek a gyakorlattal jönnek és mennek. Ha az egyik útválasztási protokollt a szállítási oldalon, egy másikat a privát oldalon futtat, az nem kötelezi önt a kettő közötti újraelosztásra, és a kölcsönös újraelosztást az IPsec előfeltételeként kezelni az a pont, ahol a laborok olyan eredményeket kezdenek produkálni, amelyeket senki sem tud megmagyarázni.

Döntse el a két könyvet külön, és jegyezze fel, melyik dinamikus. Egyetlen válasz mindkét oldalra általában azt jelenti, hogy a két kérdést soha nem választották szét igazán.

Az újraelosztás politikai határvonal

Ahol az útvonalaknak keresztezniük kell egymást, tegye a kereszteződést politikává nevesített prefixekkel, iránnyal, metrika-kezeléssel és hurokvédelemmel. A prefixlisták és az útvonaltérképek mind a négyet megadják, a címkék pedig az újraelosztott útvonalat az eredeti kontextus elvesztése után is azonosíthatóvá teszik. Olvassa figyelmesen a szemantikát, mert nem felcserélhetők: egy ACL-tiltás egy egyezési feltételen belül azt jelenti, hogy az útvonal nem egyezik, és az értékelés folytatódik, míg az útvonaltérkép tiltási sorozata teljesen megakadályozza az útvonal újraelosztását. A újraelosztási útvonaltérkép-útmutató kiterjed ezekre a feltételekre és a velük járó attribútumváltozásokra.

Ezután hasonlítsa össze a kapott útválasztási táblát mindkét könyvvel. Az a labor, amely széles újraelosztás után továbbítani kezd, elérhetőséget mutatott, nem szándékot. Minden táblabejegyzés, amely egyik könyvben sem szerepel, azt jelenti, hogy az export szélesebb a tervezésnél, és minden későbbi hirdetés ezt a kétértelműséget örökli.

Tartsa a biztonsági példát olyan naprakészen, mint az útválasztást

A gyenge algoritmusokra vagy közös bemutatótitokra támaszkodó régi útmutatók történelmi megfigyelések. Ezeket olyan laborba másolni, amelyet bővíteni szeretne, az az út, amelyen a gyenge alapértelmezések túlélik a termelést. Használja a platform által támogatott házirendet, és jegyezze fel a tesztelt verziót, mert a labor tovább él, mint az útmutató.

Fogadjon el egy jóváhagyott gazdagép-gazdagép folyamot, annak visszforgalmát és egy célállomást, amelynek a védelem hatókörén kívül kell maradnia. Mentse el az útvonal forrását és az egyeztetett szelektorokat minden eredménnyel, hogy a feljegyzés azt mutassa, melyik réteg bizonyult, nem pedig azt, melyik réteg volt véletlenül aktív.

Amikor valami eltörik, a könyv megmondja, melyik réteget nyissa ki. A partner elérhetetlensége szállítás, a belső útvonal hiánya privát út, és egy egyeztető szelektor nélkül létező útvonal politika. Három mondat, egy diagnózis, találgatás nélkül.