Simpan dua buku catatan rute di lab IPsec: lapisan dasar dan terlindungi

Dua pertanyaan saling kusut di lab IPsec: bagaimana paket mencapai alamat luar peer, dan bagaimana paket mencapai jaringan privat di balik peer itu. Keduanya termasuk buku catatan terpisah, karena proses perutean yang berbeda menjawabnya dan keduanya gagal dengan gejala berbeda. Simpan buku lapisan dasar untuk titik akhir eksternal dan hop berikutnya yang mencapainya. Simpan buku lapisan atas untuk prefiks terlindungi, gateway-nya, dan jalur yang dimaksudkan melalui terowongan. Sebagian besar kebingungan di lab berasal dari rute yang sah ada di satu buku lalu dibaca sebagai bukti tentang buku lainnya.

Dua buku, dua pertanyaan

Buku-buku itu tetap cukup pendek untuk dirawat dengan tangan selama lab masih kecil, dan justru saat itulah keduanya paling berguna. Dua kolom sudah cukup: apa isi entri, dan bagaimana mencapainya.

Tulis kedua arah. Prefiks yang muncul di buku keluar tetapi tidak di buku kembali menghasilkan terowongan yang membawa permintaan dan membuang jawaban. Keadaan setengah berfungsi itu adalah hasil paling umum di lab, dan mudah disalahartikan sebagai masalah kebijakan.

Tulis tujuan sebelum protokol

Mulailah dari tujuan, bukan protokol. Untuk setiap gateway, catat alamat luar dan hop berikutnya yang mencapainya. Lalu catat setiap prefiks privat, gateway lokalnya, dan jalur yang seharusnya dilalui melalui terowongan.

Melakukannya sebelum memilih protokol perutean menjaga diskusi tetap jujur. Desain datang dengan persyaratan, bukan preferensi. Perdebatan tentang protokol mana yang dijalankan lalu menjadi pertanyaan tentang persyaratan mana yang benar-benar sulit.

Statis atau dinamis, diputuskan per buku

Perutean statis di sisi transportasi biasanya tepat di lab: dua titik akhir, satu hop berikutnya, tidak ada yang perlu dikonvergensi. Sisi privat bisa wajar bersifat dinamis, karena prefiks datang dan pergi bersama latihan. Menjalankan satu protokol perutean di sisi transportasi dan protokol lain di sisi privat tidak mewajibkan Anda meredistribusi di antara keduanya, dan memperlakukan redistribusi timbal balik sebagai prasyarat IPsec adalah titik ketika lab mulai menghasilkan hasil yang tidak dapat dijelaskan siapa pun.

Putuskan kedua buku secara terpisah dan catat mana yang dinamis. Satu jawaban untuk kedua sisi biasanya berarti kedua pertanyaan itu tidak pernah benar-benar dipisahkan.

Redistribusi adalah batas kebijakan

Di tempat rute harus bersilangan, jadikan persilangan itu kebijakan dengan prefiks bernama, arah, perlakuan metrik, dan penjaga loop. Daftar prefiks dan peta rute memberi Anda keempatnya, dan tag menjaga rute yang diredistribusi tetap dapat dikenali setelah kehilangan konteks aslinya. Baca semantiknya dengan cermat, karena keduanya tidak dapat dipertukarkan: penolakan ACL di dalam klausa pencocokan berarti rute tidak cocok dan evaluasi berlanjut, sedangkan urutan penolakan dalam peta rute menghentikan rute untuk diredistribusi sama sekali. Panduan peta rute redistribusi mencakup klausa tersebut dan perubahan atribut yang menyertainya.

Lalu bandingkan tabel perutean yang dihasilkan dengan kedua buku. Lab yang mulai meneruskan setelah redistribusi luas telah menunjukkan keterjangkauan, bukan niat. Setiap entri tabel yang tidak muncul di kedua buku berarti ekspornya lebih luas daripada desainnya, dan setiap pengumuman berikutnya mewarisi ambiguitas itu.

Jaga contoh keamanan tetap mutakhir seperti perutean

Panduan lama yang bergantung pada algoritme lemah atau rahasia demonstrasi bersama adalah pengamatan historis. Menyalinnya ke lab yang ingin Anda perluas adalah cara default lemah bertahan di produksi. Gunakan kebijakan yang didukung platform dan catat versi yang Anda uji, karena lab hidup lebih lama daripada tutorial.

Terima satu alur host-ke-host yang disetujui, lalu lintas kembalinya, dan satu tujuan yang harus tetap di luar cakupan perlindungan. Simpan sumber rute dan pemilih yang dinegosiasikan bersama setiap hasil, sehingga catatan menunjukkan lapisan mana yang terbukti, bukan lapisan mana yang kebetulan aktif.

Saat sesuatu rusak, buku memberi tahu lapisan mana yang harus dibuka. Tidak ada keterjangkauan ke peer berarti transportasi, tidak ada rute dalam berarti jalur privat, dan rute yang ada tanpa pemilih yang cocok berarti kebijakan. Tiga kalimat, satu diagnosis, tanpa menebak.