Laikykite du maršrutų žurnalus IPsec laboratorijoje: pagrindinis ir apsaugotas
Du žurnalai: vienas pasiekia partnerį, kitas neša privačiuosius prefiksus. Stebėkite abu ir perskirstymą laikykite politikos sprendimu, o ne apėjimo keliu.
IPsec laboratorijoje susipina du klausimai: kaip paketas pasiekia partnerio išorinį adresą ir kaip jis pasiekia privačius tinklus už to partnerio. Jie priklauso atskiriems žurnalams, nes į juos atsako skirtingi maršrutizavimo procesai ir jie nepavyksta su skirtingais simptomais. Laikykite pagrindinio sluoksnio žurnalą išoriniams galiniams taškams ir kitiems šuoliams, kurie juos pasiekia. Laikykite viršutinio sluoksnio žurnalą apsaugotiems prefiksams, jų tarpinėms ir numatytam keliui per tunelį. Didžioji dalis painiavos laboratorijoje kyla, kai maršrutas, teisėtai esantis viename žurnale, skaitomas kaip įrodymas apie kitą.
Du žurnalai, du klausimai
Žurnalai išlieka pakankamai trumpi, kad juos būtų galima tvarkyti ranka, kol laboratorija maža, ir būtent tada jie naudingiausi. Dviejų stulpelių pakanka: kas yra įrašas ir kaip jo pasiekiama.
| Ledger | What it lists |
|---|---|
| Underlay | Each gateway's external address and the next hop that reaches it |
| Protected | Each private prefix, its local gateway and its intended path through the tunnel |
Rašykite abi kryptis. Prefiksas, esantis išėjimo žurnale ir ne grįžimo žurnale, sukuria tunelį, kuris neša užklausas ir numeta atsakymus. Ši pusiau veikianti būsena yra dažniausias laboratorijos rezultatas ir lengvai supainiojama su politikos problema.
Užrašykite paskirtį prieš protokolą
Pradėkite nuo paskirčių, o ne nuo protokolų. Kiekvienai tarpinei užrašykite išorinį adresą ir kitą šuolį, kuris ją pasiekia. Tada užrašykite kiekvieną privatų prefiksą, jo vietinę tarpinę ir kelią, kuriuo jis turėtų eiti per tunelį.
Tai padaryti prieš pasirenkant maršrutizavimo protokolą padeda išlaikyti sąžiningą diskusiją. Projektas ateina su reikalavimais, o ne su pageidavimais. Ginčas, kurį protokolą paleisti, tada tampa klausimu, kuris reikalavimas iš tikrųjų sunkus.
Statinis ar dinaminis, sprendžiama pagal žurnalą
Statinis maršrutizavimas transporto pusėje laboratorijoje paprastai teisingas: du galiniai taškai, vienas kitas šuolis, nieko konverguoti. Privati pusė gali pagrįstai būti dinaminė, nes prefiksai ateina ir išeina su pratimu. Vieno maršrutizavimo protokolo paleidimas transporto pusėje ir kito privačioje pusėje neįpareigoja perskirstyti tarp jų, o abipusio perskirstymo kaip IPsec prielaidos traktavimas yra vieta, kur laboratorijos pradeda duoti rezultatus, kurių niekas negali paaiškinti.
Nuspręskite abu žurnalus atskirai ir pažymėkite, kuris dinaminis. Vienas atsakymas abiem pusėms paprastai reiškia, kad du klausimai niekada nebuvo tikrai atskirti.
Perskirstymas yra politikos riba
Kur maršrutai turi kirstis, padarykite susikirtimą politika su įvardytais prefiksais, kryptimi, metrikos apdorojimu ir kilpų apsauga. Prefiksų sąrašai ir maršrutų žemėlapiai duoda visus keturis, o žymos išlaiko perskirstytą maršrutą atpažįstamą po to, kai jis prarado pradinį kontekstą. Atidžiai skaitykite semantiką, nes jie nėra keičiami: ACL draudimas atitikties sąlygoje reiškia, kad maršrutas neatitinka ir vertinimas tęsiasi, o maršruto žemėlapio draudimų seka visiškai sustabdo maršruto perskirstymą. Perskirstymo maršrutų žemėlapių vadovas apima tas sąlygas ir su jomis susijusius atributų pakeitimus.
Tada palyginkite gautą maršrutizavimo lentelę su abiem žurnalais. Laboratorija, kuri po plataus perskirstymo pradeda persiųsti, parodė pasiekiamumą, o ne ketinimą. Bet kuris lentelės įrašas, kurio nėra nė viename žurnale, reiškia, kad eksportas platesnis už projektą, ir kiekvienas vėlesnis skelbimas paveldi tą dviprasmiškumą.
Išlaikykite saugumo pavyzdį tokį pat aktualų kaip maršrutizavimą
Seni vadovai, kurie remiasi silpnais algoritmais ar bendra demonstracine paslaptimi, yra istoriniai stebėjimai. Jų kopijavimas į laboratoriją, kurią ketinate plėsti, yra kelias, kuriuo silpnos numatytosios reikšmės išgyvena gamyboje. Naudokite platformos palaikomą politiką ir pažymėkite versiją, kurią išbandėte, nes laboratorija gyvena ilgiau nei mokymo medžiaga.
Priimkite vieną patvirtintą srautą iš mazgo į mazgą, jo grįžtamąjį srautą ir vieną paskirties tašką, kuris turi likti už apsaugos ribų. Saugokite maršruto šaltinį ir suderintus parinkiklius su kiekvienu rezultatu, kad įrašas rodytų, kuris sluoksnis įrodytas, o ne kuris sluoksnis atsitiktinai veikė.
Kai kas nors sugenda, žurnalas pasako, kurį sluoksnį atidaryti. Nėra pasiekiamumo iki partnerio – tai transportas, nėra vidinio maršruto – tai privatus kelias, o maršrutas, egzistuojantis be atitinkančio parinkiklio, yra politika. Trys sakiniai, viena diagnozė, jokio spėjimo.