Држете два регистри на маршрути во IPsec лабораторија: основен и заштитен
Два регистри: еден стигнува до партнерот, другиот ги носи приватните префикси. Следете ги двата и третирајте ја прераспределбата како политичка одлука, а не како кратенка.
Во IPsec лабораторија се заплеткуваат две прашања: како пакетот стигнува до надворешната адреса на партнерот и како стигнува до приватните мрежи зад тој партнер. Тие припаѓаат на одделни регистри, зашто на нив одговараат различни процеси на рутирање и тие паѓаат со различни симптоми. Држете го регистарот на основниот слој за надворешните крајни точки и следните скокови што стигнуваат до нив. Држете го регистарот на горниот слој за заштитените префикси, нивните порти и предвидената патека низ тунелот. Повеќето конфузија во лабораторијата доаѓа од тоа што маршрута што законски постои во еден регистар се чита како доказ за другиот.
Два регистри, две прашања
Регистрите остануваат доволно кратки за рачно водење додека лабораторијата е мала, и токму тогаш се најкорисни. Две колони се доволни: што е записот и како се стигнува до него.
| Ledger | What it lists |
|---|---|
| Underlay | Each gateway's external address and the next hop that reaches it |
| Protected | Each private prefix, its local gateway and its intended path through the tunnel |
Запишете ги двата правци. Префикс што се појавува во излезниот регистар, а не во повратниот, создава тунел што носи барања и исфрла одговори. Оваа полуработна состојба е најчестиот резултат во лабораторијата и лесно се заменува со политички проблем.
Запишете го одредиштето пред протоколот
Почнете со одредишта, а не со протоколи. За секоја порта запишете ја надворешната адреса и следниот скок што стигнува до неа. Потоа запишете го секој приватен префикс, неговата локална порта и патеката што треба да ја помине низ тунелот.
Да се направи тоа пред да се избере протокол за рутирање ја одржува дискусијата чесна. Дизајнот доаѓа со барања, а не со преференции. Расправата за тоа кој протокол да се пушти тогаш станува прашање за тоа кое барање е навистина тешко.
Статично или динамично, решава се по регистар
Статичното рутирање на транспортната страна вообичаено е точно во лабораторија: две крајни точки, еден следен скок, ништо за конвергирање. Приватната страна може разумно да биде динамична, зашто префиксите доаѓаат и одат со вежбата. Пуштањето еден протокол за рутирање на транспортната страна и друг на приватната не ве обврзува да прераспределувате меѓу нив, и третирањето на заемната прераспределба како предуслов за IPsec е местото каде лабораториите почнуваат да даваат резултати што никој не може да ги објасни.
Одлучете за двата регистри одделно и забележете кој е динамичен. Еден одговор за двете страни вообичаено значи дека двете прашања никогаш не биле навистина одделени.
Прераспределбата е граница на политиката
Каде што маршрутите мора да се вкрстат, направете го вкрстувањето политика со именувани префикси, насока, третман на метрика и заштита од циклуси. Списоците на префикси и картите на маршрути ги даваат сите четири, а ознаките ја држат прераспределената маршрута препознатлива откако ќе го изгуби првобитниот контекст. Внимателно читајте ја семантиката, зашто тие не се заменливи: одбивање на ACL во клаузула за совпаѓање значи дека маршрутата не се совпаѓа и оценувањето продолжува, додека низата за одбивање во карта на маршрути целосно ја спречува прераспределбата на маршрутата. Водичот за карти на маршрути за прераспределба ги покрива тие клаузули и промените на атрибутите што одат со нив.
Потоа споредете ја добиената табела за рутирање со двата регистри. Лабораторија што почнува да препраќа по широка прераспределба покажала достапност, а не намера. Секој запис во табелата што не се појавува ни во еден од двата регистри значи дека извозот е поширок од дизајнот, и секое подоцнежно објавување ја наследува таа двосмисленост.
Држете го безбедносниот пример актуелен како рутирањето
Старите водичи што се потпираат на слаби алгоритми или на заедничка демонстрациска тајна се историски набљудувања. Нивното копирање во лабораторија што планирате да ја проширите е патот по кој слабите стандардни поставки преживуваат во производството. Користете ја политиката што ја поддржува платформата и забележете ја верзијата што сте ја тестирале, зашто лабораторијата живее подолго од упатството.
Прифатете еден одобрен тек од домаќин до домаќин, неговиот повратен сообраќај и едно одредиште што мора да остане надвор од опфатот на заштита. Зачувајте го изворот на маршрутата и преговараните избирачи со секој резултат, за да покаже записот кој слој е докажан, а не кој слој случајно бил активен.
Кога нешто ќе се скрши, регистарот кажува кој слој да се отвори. Нема достапност до партнерот е транспорт, нема внатрешна маршрута е приватна патека, а маршрута што постои без соодветен избирач е политика. Три реченици, една дијагноза, без погодување.