IPsec зертханасында екі маршрут дәптерін ұстаңыз: негізгі және қорғалған
Екі дәптер: біреуі серіктеске жетеді, екіншісі жеке префикстерді тасымалдайды. Екеуін де қадағалаңыз және қайта бөлуді қысқа жол емес, саясат шешімі ретінде қарастырыңыз.
IPsec зертханасында екі сұрақ шатасады: пакет серіктестің сыртқы мекенжайына қалай жетеді және ол сол серіктестің артындағы жеке желілерге қалай жетеді. Олар бөлек дәптерлерге жатады, өйткені оларға әртүрлі маршруттау процестері жауап береді және олар әртүрлі симптомдармен істен шығады. Негізгі дәптерді сыртқы соңғы нүктелер мен оларға жететін келесі секірістер үшін ұстаңыз. Жоғарғы қабат дәптерін қорғалған префикстер, олардың шлюздері және туннель арқылы өтетін болжамды жол үшін ұстаңыз. Зертханадағы шатасудың көбі бір дәптерде заңды түрде бар маршрутты екіншісі туралы дәлел ретінде оқудан туындайды.
Екі дәптер, екі сұрақ
Зертхана кішкентай кезде дәптерлер қолмен жүргізуге жеткілікті қысқа болып қалады, және дәл сол кезде олар ең пайдалы. Екі баған жеткілікті: жазбаның не екені және оған қалай жетуге болатыны.
| Ledger | What it lists |
|---|---|
| Underlay | Each gateway's external address and the next hop that reaches it |
| Protected | Each private prefix, its local gateway and its intended path through the tunnel |
Екі бағытты да жазыңыз. Шығу дәптерінде бар, бірақ қайту дәптерінде жоқ префикс сұраныстарды тасымалдап, жауаптарды тастайтын туннель жасайды. Бұл жартылай жұмыс істейтін күй зертханадағы ең көп кездесетін нәтиже, және оны саясат мәселесімен шатастыру оңай.
Межені протоколдан бұрын жазыңыз
Протоколдардан емес, межелерден бастаңыз. Әр шлюз үшін сыртқы мекенжайды және оған жететін келесі секірісті жазыңыз. Содан кейін әрбір жеке префиксті, оның жергілікті шлюзін және туннель арқылы өтетін жолды жазыңыз.
Мұны маршруттау протоколын таңдамас бұрын жасау талқылауды шынайы ұстайды. Дизайн таңдаулармен емес, талаптармен келеді. Қай протоколды іске қосу туралы дау кейін қай талаптың шын мәнінде қиын екені туралы сұраққа айналады.
Статикалық па, динамикалық па — дәптер бойынша шешіледі
Көлік жағында статикалық маршруттау зертханада әдетте дұрыс: екі соңғы нүкте, бір келесі секіріс, жинақталатын ештеңе жоқ. Жеке жақ динамикалық болуы әбден орынды, өйткені префикстер жаттығумен бірге келіп кетеді. Көлік жағында бір маршруттау протоколын, жеке жақта екіншісін іске қосу олардың арасында қайта бөлуге міндеттемейді, ал өзара қайта бөлуді IPsec үшін алғышарт деп санау — зертханалар ешкім түсіндіре алмайтын нәтижелер шығара бастайтын жер.
Екі дәптерді бөлек шешіп, қайсысы динамикалық екенін белгілеңіз. Екі жақ үшін бір жауап әдетте екі сұрақтың ешқашан шынымен бөлінбегенін білдіреді.
Қайта бөлу — саясат шекарасы
Маршруттар қиылысуы керек жерде қиылысты аталған префикстері, бағыты, метрика өңдеуі және цикл күзеті бар саясатқа айналдырыңыз. Префикс тізімдері мен маршрут карталары төртеуін де береді, ал тегтер қайта бөлінген маршрутты бастапқы контекстінен айырылғаннан кейін де танылатын күйде ұстайды. Семантиканы мұқият оқыңыз, өйткені олар өзара алмастырылмайды: сәйкестендіру тармағының ішіндегі ACL бас тартуы маршруттың сәйкес келмейтінін және бағалаудың жалғасатынын білдіреді, ал маршрут картасындағы бас тарту тізбегі маршруттың қайта бөлінуін мүлдем тоқтатады. Қайта бөлу маршрут карталарының нұсқаулығы сол тармақтарды және олармен бірге жүретін атрибут өзгерістерін қамтиды.
Содан кейін алынған маршруттау кестесін екі дәптермен салыстырыңыз. Кең қайта бөлуден кейін жіберуді бастаған зертхана қатынасты емес, қолжетімділікті көрсетті. Кестедегі екі дәптердің ешқайсысында жоқ кез келген жазба экспорттың дизайннан кең екенін білдіреді, және әрбір кейінгі хабарландыру сол екіұштылықты мұраға алады.
Қауіпсіздік мысалын маршруттау сияқты өзекті ұстаңыз
Әлсіз алгоритмдерге немесе ортақ көрсетілім құпиясына сүйенетін ескі нұсқаулықтар тарихи бақылаулар. Оларды кеңейтуді жоспарлаған зертханаға көшіру — әлсіз әдепкі мәндердің өндірісте өмір сүру жолы. Платформа қолдайтын саясатты пайдаланыңыз және сынаған нұсқаңызды жазып қойыңыз, өйткені зертхана оқулықтан ұзақ өмір сүреді.
Бір бекітілген хосттан хостқа ағынды, оның қайтарым трафигін және қорғау аясынан тыс қалуы тиіс бір межені қабылдаңыз. Әр нәтижемен бірге маршрут көзін және келісілген селекторларды сақтаңыз, сонда жазба қай қабаттың дәлелденгенін көрсетсін, қай қабаттың кездейсоқ қосылып тұрғанын емес.
Бірдеңе бұзылса, дәптер қай қабатты ашу керектігін айтады. Серіктеске қолжетімділіктің жоқтығы — көлік, ішкі маршруттың жоқтығы — жеке жол, ал сәйкес селекторсыз бар маршрут — саясат. Үш сөйлем, бір диагноз, болжамсыз.