IPsec 랩에서 두 개의 경로 장부를 유지하십시오: 언더레이와 보호 대상

IPsec 랩에서는 패킷이 피어의 외부 주소에 도달하는 방식과 그 피어 뒤의 사설 네트워크에 도달하는 방식이라는 두 질문이 얽힙니다. 서로 다른 라우팅 프로세스가 답하며 서로 다른 증상으로 실패하기 때문에 이들은 별도의 장부에 속합니다. 언더레이 장부에는 외부 엔드포인트와 그곳에 도달하는 다음 홉을 기록하십시오. 오버레이 장부에는 보호 대상 프리픽스, 그 게이트웨이, 터널을 통과하는 의도된 경로를 기록하십시오. 랩의 혼란 대부분은 한 장부에 정당하게 존재하는 경로를 다른 장부에 대한 증거로 읽는 데서 생깁니다.

두 장부, 두 질문

랩이 작을 때 장부는 손으로 유지할 수 있을 만큼 짧게 유지되며, 바로 그때 가장 유용합니다. 두 열이면 충분합니다: 항목이 무엇인지, 그리고 어떻게 도달하는지입니다.

양방향을 모두 기록하십시오. 나가는 장부에는 있고 돌아오는 장부에는 없는 프리픽스는 요청은 나르고 응답은 떨어뜨리는 터널을 만듭니다. 이 반쯤 작동하는 상태가 랩에서 가장 흔한 결과이며, 정책 문제로 오해하기 쉽습니다.

프로토콜보다 목적지를 먼저 기록하십시오

프로토콜이 아니라 목적지에서 시작하십시오. 각 게이트웨이에 대해 외부 주소와 그곳에 도달하는 다음 홉을 기록하십시오. 그런 다음 각 사설 프리픽스, 그 로컬 게이트웨이, 터널을 통해 지나야 할 경로를 기록하십시오.

라우팅 프로토콜을 고르기 전에 그렇게 하면 논의가 정직하게 유지됩니다. 설계는 선호가 아니라 요구 사항과 함께 옵니다. 어떤 프로토콜을 돌릴지에 대한 논쟁은 그러면 어떤 요구 사항이 정말 어려운지에 대한 질문이 됩니다.

정적 또는 동적, 장부마다 결정

전송 측의 정적 라우팅은 랩에서 보통 옳습니다: 두 엔드포인트, 다음 홉 하나, 수렴할 것이 없습니다. 프리픽스가 실습과 함께 생겼다 사라지기 때문에 사설 측은 합리적으로 동적일 수 있습니다. 전송 측에 한 라우팅 프로토콜, 사설 측에 다른 프로토콜을 돌린다고 해서 둘 사이에 재분배할 의무가 생기지는 않으며, 상호 재분배를 IPsec의 전제 조건으로 보는 것이 랩이 아무도 설명할 수 없는 결과를 내기 시작하는 지점입니다.

두 장부를 따로 결정하고 어느 쪽이 동적인지 적어 두십시오. 양쪽에 대한 단일 답은 보통 두 질문이 실제로 분리된 적이 없다는 뜻입니다.

재분배는 정책의 경계

경로가 교차해야 하는 곳에서는 이름이 붙은 프리픽스, 방향, 메트릭 처리, 루프 보호를 갖춘 정책으로 교차를 만드십시오. 프리픽스 목록과 경로 맵이 네 가지를 모두 제공하며, 태그는 재분배된 경로가 원래 문맥을 잃은 뒤에도 식별 가능하게 유지합니다. 서로 바꿔 쓸 수 없으므로 의미론을 주의해서 읽으십시오: 일치 절 내부의 ACL 거부는 경로가 일치하지 않고 평가가 계속됨을 뜻하며, 경로 맵의 거부 시퀀스는 경로가 재분배되는 것 자체를 막습니다. 재분배 경로 맵 안내서는 그런 절과 함께 따르는 속성 변경을 다룹니다.

그런 다음 결과 라우팅 테이블을 두 장부와 비교하십시오. 넓은 재분배 후 전달을 시작한 랩은 의도가 아니라 도달 가능성을 보여 준 것입니다. 두 장부 어디에도 없는 테이블 항목은 내보내기가 설계보다 넓다는 뜻이며, 이후의 모든 광고가 그 모호함을 물려받습니다.

보안 예제를 라우팅만큼 최신으로 유지하십시오

약한 알고리즘이나 공유된 시연 비밀에 의존하는 오래된 안내서는 역사적 관찰입니다. 확장하려는 랩에 그것들을 복사하는 것이 약한 기본값이 운영 환경까지 살아남는 방식입니다. 랩은 튜토리얼보다 오래 살아남기 때문에 플랫폼이 지원하는 정책을 사용하고 시험한 버전을 적어 두십시오.

승인된 호스트 간 흐름 하나와 그 반환 트래픽, 그리고 보호 범위 밖에 남아야 하는 목적지 하나를 받아들이십시오. 각 결과와 함께 경로 출처와 협상된 선택자를 저장하여, 기록이 어느 계층이 우연히 살아 있었는지가 아니라 어느 계층이 입증되었는지 보여 주게 하십시오.

무언가 깨지면 장부가 어느 계층을 열어야 하는지 알려 줍니다. 피어 도달 불가는 전송, 내부 경로 없음은 사설 경로, 일치하는 선택자 없이 존재하는 경로는 정책입니다. 세 문장, 하나의 진단, 추측 없음.