Turiet divus maršrutu žurnālus IPsec laboratorijā: pamatslānis un aizsargātais
Divi žurnāli: viens sasniedz partneri, otrs nes privātos prefiksus. Sekojiet abiem un uzskatiet pārdali par politikas lēmumu, nevis apvedceļu.
IPsec laboratorijā sapinas divi jautājumi: kā pakete sasniedz partnera ārējo adresi un kā tā sasniedz privātos tīklus aiz šī partnera. Tie pieder atsevišķiem žurnāliem, jo uz tiem atbild dažādi maršrutēšanas procesi un tie neizdodas ar dažādiem simptomiem. Turiet pamatslāņa žurnālu ārējiem galapunktiem un nākamajiem lēcieniem, kas tos sasniedz. Turiet augšējā slāņa žurnālu aizsargātajiem prefiksiem, to vārtejām un paredzētajam ceļam caur tuneli. Lielākā daļa apjukumā laboratorijā rodas, kad maršrutu, kas likumīgi pastāv vienā žurnālā, lasa kā pierādījumu par otru.
Divi žurnāli, divi jautājumi
Žurnāli paliek gana īsi, lai tos uzturētu ar roku, kamēr laboratorija ir maza, un tieši tad tie ir visnoderīgākie. Pietiek ar divām kolonnām: kas ir ieraksts un kā to sasniedz.
| Ledger | What it lists |
|---|---|
| Underlay | Each gateway's external address and the next hop that reaches it |
| Protected | Each private prefix, its local gateway and its intended path through the tunnel |
Rakstiet abus virzienus. Prefikss, kas ir izejošajā žurnālā un nav atgriešanās žurnālā, rada tuneli, kas pārnēsā pieprasījumus un nomet atbildes. Šis daļēji darbojošais stāvoklis ir visbiežākais laboratorijas rezultāts, un to viegli sajaukt ar politikas problēmu.
Pierakstiet galamērķi pirms protokola
Sāciet ar galamērķiem, nevis protokoliem. Katrai vārtejai pierakstiet ārējo adresi un nākamo lēcienu, kas to sasniedz. Pēc tam pierakstiet katru privāto prefiksu, tā vietējo vārteju un ceļu, kas tam jāiet caur tuneli.
To darīt pirms maršrutēšanas protokola izvēles palīdz uzturēt godīgu diskusiju. Dizains nāk ar prasībām, nevis ar izvēlēm. Strīds par to, kuru protokolu darbināt, tad kļūst par jautājumu, kura prasība patiešām ir grūta.
Statisks vai dinamisks, izlemjams katram žurnālam
Statiskā maršrutēšana transporta pusē laboratorijā parasti ir pareiza: divi galapunkti, viens nākamais lēciens, nekas nav jāsaskaņo. Privātā puse pamatoti var būt dinamiska, jo prefiksi nāk un iet kopā ar vingrinājumu. Viena maršrutēšanas protokola darbināšana transporta pusē un cita privātajā pusē neuzliek pienākumu pārdalīt starp tiem, un savstarpējas pārdales uzskatīšana par IPsec priekšnosacījumu ir vieta, kur laboratorijas sāk radīt rezultātus, ko neviens nevar izskaidrot.
Izlemiet abus žurnālus atsevišķi un atzīmējiet, kurš ir dinamisks. Viena atbilde abām pusēm parasti nozīmē, ka abi jautājumi nekad netika īsti atdalīti.
Pārdale ir politikas robeža
Kur maršrutiem jākrustojas, padariet krustojumu par politiku ar nosauktiem prefiksiem, virzienu, metrikas apstrādi un cilpu sargu. Prefiksu saraksti un maršrutu kartes dod visus četrus, un birkas saglabā pārdalīto maršrutu atpazīstamu pēc tam, kad tas zaudējis sākotnējo kontekstu. Uzmanīgi lasiet semantiku, jo tās nav aizstājamas: ACL aizliegums atbilstības klauzulā nozīmē, ka maršruts neatbilst un vērtēšana turpinās, savukārt aizlieguma secība maršrutu kartē pilnībā aptur maršruta pārdali. Pārdales maršrutu karšu rokasgrāmata aptver šīs klauzulas un ar tām saistītās atribūtu izmaiņas.
Pēc tam salīdziniet iegūto maršrutēšanas tabulu ar abiem žurnāliem. Laboratorija, kas pēc plašas pārdales sāk pārsūtīt, ir parādījusi sasniedzamību, nevis nodomu. Jebkurš tabulas ieraksts, kas neparādās nevienā žurnālā, nozīmē, ka eksports ir platāks par dizainu, un katrs vēlākais paziņojums manto šo neskaidrību.
Uzturiet drošības piemēru tikpat aktuālu kā maršrutēšanu
Vecas rokasgrāmatas, kas balstās uz vājiem algoritmiem vai kopīgu demonstrācijas noslēpumu, ir vēsturiski novērojumi. To kopēšana laboratorijā, ko plānojat paplašināt, ir veids, kā vājas noklusējuma vērtības izdzīvo ražošanā. Izmantojiet platformas atbalstīto politiku un pierakstiet pārbaudīto versiju, jo laboratorija dzīvo ilgāk par apmācību.
Pieņemiet vienu apstiprinātu plūsmu no resursdatora uz resursdatoru, tās atgaitas trafiku un vienu galamērķi, kam jāpaliek ārpus aizsardzības tvēruma. Saglabājiet maršruta avotu un sarunātos atlasītājus ar katru rezultātu, lai ieraksts parādītu, kurš slānis tika pierādīts, nevis kurš slānis nejauši darbojās.
Kad kaut kas sabrūk, žurnāls pasaka, kuru slāni atvērt. Nav sasniedzamības līdz partnerim – tas ir transports, nav iekšējā maršruta – tas ir privātais ceļš, un maršruts, kas pastāv bez atbilstoša atlasītāja, ir politika. Trīs teikumi, viena diagnoze, bez minējumiem.