Tulis jalur paket sebelum mengonfigurasi VPN

Sebagian besar pembangunan VPN dimulai dengan klien dan profil, dan saat terowongan sudah aktif tidak ada yang bisa mengatakan paket mana yang seharusnya melewatinya. Halaman pertama pekerjaan lebih murah daripada jam ketiga penelusuran masalah: gambarkan satu koneksi yang dimaksud dari ujung ke ujung, di atas kertas, sebelum ada berkas konfigurasi. Latihan ini biasanya menjawab pertanyaan yang belum Anda ajukan, misalnya apakah kebutuhannya adalah jalan keluar internet, akses jarak jauh ke subnet, atau tautan antara dua lokasi.

Satu koneksi cukup untuk memulai. Tiga halaman topologi biasanya menyembunyikan jawaban yang sama-sama hilang.

Gambarkan satu permintaan, bukan diagram

Mulailah dari pengirim: rentang alamat, keluarga alamat, dan aplikasi yang menghasilkan lalu lintas. Lalu sebutkan prefiks tujuan dan layanan di atasnya, sampai ke port dan protokol, karena aturan yang mengizinkan subnet tetapi tidak layanannya adalah aturan yang tidak melakukan apa pun. Kedua alamat itulah intinya, dan semua yang di bawahnya adalah mesin yang harus sepakat dengannya.

Daftarkan jalur secara berurutan: tautan fisik, titik ujung VPN di setiap sisi, terowongan itu sendiri, dan jaringan di baliknya. Tuliskan nama antarmuka jika Anda mengetahuinya, karena detail itulah yang mengubah deskripsi menjadi sesuatu yang nanti bisa Anda bandingkan dengan tabel perutean. Tambahkan alamat yang dipakai setiap antarmuka di sisi terowongan. Tanpa kedua fakta itu, orang lain tidak dapat memeriksa catatan terhadap perangkat.

Sekarang sebutkan satu koneksi yang dimaksud dalam satu kalimat di bagian atas halaman. Jika kalimat itu membutuhkan kata atau, Anda punya dua rancangan dan harus menanganinya secara terpisah.

Ikuti balasannya sebelum permintaannya

Jalur yang hanya menggambarkan arah keluar adalah separuh dokumen. Ikuti balasan kembali dan tentukan perangkat mana yang mengetahui rentang pengirim, apakah terjemahan mengubah sumber saat keluar, dan di mana paket balasan diharapkan masuk. Balasanlah tempat sebagian besar pembangunan gagal, karena permintaannya mudah diamati dan balasannya tidak.

Catat secara eksplisit setiap terjemahan alamat, termasuk di mana itu terjadi dan apa yang kemudian dilihat ujung jauh. Rekan yang mencatat satu alamat dan merutekan ke alamat lain sedang menggambarkan dua rancangan berbeda.

Perlakukan resolusi nama sebagai pertukaran tersendiri, bukan sebagai bagian dari jalur aplikasi. Catatan internal mungkin memerlukan resolver yang hanya dapat dijangkau melalui terowongan, dan catatan jalur yang berhenti di prefiks aplikasi tidak akan mengungkapnya. Hal yang sama berlaku untuk validasi sertifikat apa pun yang bergantung pada tercapainya otoritas internal.

Beri setiap keputusan seorang pemilik

Untuk setiap rute, aturan firewall, pemilih, dan kredensial, tuliskan konfigurasi mana yang memegangnya dan orang mana yang boleh mengubahnya. Pemilik per baris adalah yang membuat dokumen bertahan pada permintaan perubahan pertama, karena alternatifnya adalah dokumen yang menggambarkan niat dan jaringan yang menggambarkan sejarah.

Waspadai dua pemilik atas satu nilai bawaan. Skrip klien dan manajer jaringan sama-sama dapat memasang rute tanpa yang satu mengetahui yang lain, dan izin mendengarkan pada gateway bukan izin yang sama dengan penerusan. Kedua kasus menghasilkan catatan jalur yang benar di atas kertas dan salah di kabel.

Jika suatu nilai ditentukan oleh penyedia dan bukan oleh Anda, katakan itu pada baris yang sama. Prefiks yang didelegasikan oleh perusahaan hosting memiliki proses perubahan yang berbeda dari yang Anda pilih sendiri. Catatan itu menghemat tiket dukungan bagi insinyur berikutnya selama insiden. Ini juga menjelaskan mengapa perubahan yang Anda setujui tidak berdampak.

Gambarkan apa yang rusak dan bagaimana Anda pulih

Untuk setiap tahap jalur, nyatakan apa yang berhenti saat terowongan hilang dan koneksi keluar mana yang harus tetap terjangkau agar Anda dapat memperbaikinya. Rancangan yang kehilangan akses manajemennya bersama terowongan adalah rancangan yang memerlukan kunjungan ke lokasi.

Terowongan penuh dan terowongan terbelah termasuk di halaman ini sebagai pilihan eksplisit dan bukan sebagai kotak centang, karena keduanya mengubah mode kegagalan dan jalur pemulihan.

Sebutkan uji yang tidak berbahaya untuk setiap tahap

Keterjangkauan titik ujung, terbentuknya terowongan, alamat privat, nama privat, dan izin aplikasi adalah lima pengamatan berbeda, dan masing-masing memerlukan uji yang tidak dapat dikacaukan dengan yang lain. Ping ke gateway paling banyak membuktikan dua yang pertama. Koneksi ke port aplikasi membuktikan yang keempat dan kelima hanya jika nama diresolusi melalui resolver yang dimaksud.

Tulis uji di samping tahap yang dicakupnya, termasuk perintah dan keluaran yang diharapkan. Satu halaman jalur yang tepat mengalahkan satu halaman perintah yang tidak pernah mengatakan paket mana yang hendak dipengaruhinya.