Írd le a csomagútját, mielőtt a VPN-t beállítod

A legtöbb VPN-építés egy klienssel és egy profillal kezdődik, és mire az alagút áll, senki nem tudja megmondani, melyik csomagnak kellett volna átmennie rajta. Az első oldal munka olcsóbb, mint a harmadik óra hibakeresés: írj le egy szándékolt kapcsolatot elejétől a végéig papíron, mielőtt konfigurációs fájl létezne. A gyakorlat rendszerint eldönt egy kérdést, amelyet még nem tettél fel, például hogy a követelmény internetkijárat, távoli hozzáférés egy alhálózathoz vagy két telephely közötti kapcsolat-e.

Egy kapcsolat elég a kezdéshez. Három oldal topológia rendszerint ugyanazt a hiányzó választ rejti.

Egy kérést írj le, ne diagramot

Kezdd a küldővel: címek egy tartománya, egy címcsalád és az alkalmazás, amely a forgalmat létrehozza. Utána nevezd meg a cél-előtagot és a rajta lévő szolgáltatást, egészen a portig és a protokollig, mert az a szabály, amely engedi az alhálózatot, de a szolgáltatást nem, olyan szabály, amely semmit nem tesz. A két cím a lényeg, és minden, ami alatta van, az a gépezet, amelynek összhangban kell lennie velük.

Soroljuk fel az útvonalat sorrendben: a fizikai kapcsolat, a VPN végpontja mindkét oldalon, maga az alagút és a mögötte lévő hálózat. Írd le az interfészek nevét, ha ismered őket, mert ez a részlet teszi a leírást olyasmivé, amit később egy útválasztási táblával össze tudsz vetni. Add hozzá azt a címet, amelyet az egyes interfészek az alagút oldalán használnak. E két tény nélkül senki más nem tudja ellenőrizni a jegyzőkönyvet az eszközzel szemben.

Most nevezd meg az egyetlen szándékolt kapcsolatot egyetlen mondatban az oldal tetején. Ha ehhez a mondathoz kell a vagy szó, két terved van, és külön kell kezelned őket.

Kövesd a választ a kérés előtt

Az az útvonal, amely csak a kimenő irányt írja le, fél dokumentum. Kövesd vissza a választ, és állapítsd meg, melyik eszköz ismeri a küldő tartományát, megváltoztatja-e a fordítás a forrást kifelé menet, és hol várható a visszatérő csomag belépése. Leginkább a válasznál hibáznak az építések, mert a kérés könnyen megfigyelhető, a válasz pedig nem.

Jegyezd fel kifejezetten minden címfordítást, beleértve azt, hogy hol történik, és mit lát utána a túlsó vég. Az a partner, amely egy címet naplóz és egy másikra irányít, két különböző tervet ír le.

A névfeloldást saját cserének tekintsd, ne az alkalmazás útvonalának részének. Egy belső rekordhoz olyan feloldó kellhet, amely csak az alagúton át érhető el, és az alkalmazás előtagjánál megálló útvonaljegyzőkönyv ezt nem tárja fel. Ugyanez vonatkozik minden tanúsítvány-ellenőrzésre, amely belső hatóság elérésétől függ.

Minden döntésnek adj tulajdonost

Minden útvonalhoz, tűzfalszabályhoz, szelektorhoz és hitelesítő adathoz írd le, melyik konfiguráció tartja, és melyik személy változtathatja meg. A soronkénti tulajdonos az, amitől a dokumentum túléli az első változtatási kérést, mert az alternatíva egy dokumentum, amely a szándékot írja le, és egy hálózat, amely a történelmet írja le.

Figyelj egy alapérték két tulajdonosára. Egy kliensszkript és egy hálózatkezelő is telepíthet útvonalakat anélkül, hogy az egyik tudna a másikról, és az átjárón adott hallgatási engedély nem ugyanaz az engedély, mint a továbbítás. Mindkét eset olyan útvonaljegyzőkönyvet ad, amely papíron helyes és a kábelen hibás.

Ahol egy értéket a szolgáltató dönt el és nem te, mondd ki ugyanabban a sorban. A tárhelyszolgáltató által delegált előtag változtatási folyamata más, mint a saját választásodé. Az a megjegyzés megspórol a következő mérnöknek egy támogatási jegyet egy incidens alatt. Azt is megmagyarázza, miért nem volt hatása az általad jóváhagyott változtatásnak.

Írd le, mi törik el, és hogyan állsz helyre

Az útvonal minden szakaszánál mondd meg, mi áll le, amikor az alagút eltűnik, és melyik kimenő kapcsolatnak kell elérhetőnek maradnia ahhoz, hogy meg tudd javítani. Az a terv, amely az alagúttal együtt a felügyeleti hozzáférését is elveszíti, olyan terv, amely helyszíni látogatást igényel.

A teljes alagút és a megosztott alagút kifejezett választásként kerül erre az oldalra, nem jelölőnégyzetként, mert mind a hiba módját, mind a helyreállítási útvonalat megváltoztatják.

Nevezz meg egy ártalmatlan próbát minden szakaszhoz

A végpont elérhetősége, az alagút létrejötte, a privát cím, a privát név és az alkalmazásengedély öt különböző megfigyelés, és mindegyikhez olyan próba kell, amely nem téveszthető össze a másikkal. Az átjáró felé küldött ping legfeljebb az első kettőt bizonyítja. Az alkalmazás portjára nyitott kapcsolat a negyediket és az ötödiket csak akkor bizonyítja, ha a nevet a szándékolt feloldó oldotta fel.

Írd a próbát annak a szakasznak a mellé, amelyet lefed, beleértve a parancsot és a várt kimenetet. A pontos útvonalak oldala jobb, mint a parancsok oldala, amely soha nem mondja meg, mely csomagokra kellett hatniuk.