Simpan dua buku catatan laluan dalam makmal IPsec: lapisan asas dan terlindung

Dua soalan saling kusut dalam makmal IPsec: bagaimana paket mencapai alamat luar rakan setara, dan bagaimana ia mencapai rangkaian peribadi di belakang rakan setara itu. Kedua-duanya tergolong dalam buku berasingan, kerana proses penghalaan yang berbeza menjawabnya dan kedua-duanya gagal dengan gejala berbeza. Simpan buku lapisan asas untuk titik akhir luaran dan hop seterusnya yang mencapainya. Simpan buku lapisan atas untuk awalan terlindung, get laluannya dan laluan yang dimaksudkan melalui terowong. Sebahagian besar kekeliruan di makmal datang daripada membaca laluan yang sah wujud dalam satu buku sebagai bukti tentang buku yang lain.

Dua buku, dua soalan

Buku-buku itu kekal cukup pendek untuk dijaga dengan tangan selagi makmal kecil, dan ketika itulah ia paling berguna. Dua lajur sudah cukup: apa entri itu, dan bagaimana ia dicapai.

Tulis kedua-dua arah. Awalan yang muncul dalam buku keluar tetapi tidak dalam buku pulangan menghasilkan terowong yang membawa permintaan dan menggugurkan jawapan. Keadaan separuh berfungsi itu ialah hasil paling biasa di makmal, dan mudah disalah anggap sebagai masalah dasar.

Tulis destinasi sebelum protokol

Mulakan dengan destinasi, bukan protokol. Bagi setiap get laluan, catat alamat luar dan hop seterusnya yang mencapainya. Kemudian catat setiap awalan peribadi, get laluan tempatannya dan laluan yang sepatutnya dilalui melalui terowong.

Melakukannya sebelum memilih protokol penghalaan mengekalkan perbincangan yang jujur. Reka bentuk datang dengan keperluan, bukan keutamaan. Perdebatan tentang protokol mana yang hendak dijalankan kemudian menjadi persoalan tentang keperluan mana yang benar-benar sukar.

Statik atau dinamik, diputuskan setiap buku

Penghalaan statik di sebelah pengangkutan biasanya betul dalam makmal: dua titik akhir, satu hop seterusnya, tiada apa untuk menumpu. Sebelah peribadi boleh bersifat dinamik secara wajar, kerana awalan datang dan pergi bersama latihan. Menjalankan satu protokol penghalaan di sebelah pengangkutan dan satu lagi di sebelah peribadi tidak mewajibkan anda mengagihkan semula antara keduanya, dan menganggap pengagihan semula bersama sebagai prasyarat IPsec ialah titik makmal mula menghasilkan keputusan yang tiada siapa dapat jelaskan.

Putuskan kedua-dua buku secara berasingan dan catat yang mana dinamik. Satu jawapan untuk kedua-dua belah biasanya bermakna kedua-dua soalan itu tidak pernah benar-benar dipisahkan.

Pengagihan semula ialah sempadan dasar

Di tempat laluan mesti bersilang, jadikan persilangan itu dasar dengan awalan bernama, arah, layanan metrik dan pengawal gelung. Senarai awalan dan peta laluan memberikan anda keempat-empatnya, dan tag mengekalkan laluan yang diagihkan semula boleh dikenal pasti selepas ia kehilangan konteks asalnya. Baca semantiknya dengan teliti, kerana ia tidak boleh ditukar ganti: penafian ACL di dalam klausa padanan bermaksud laluan tidak sepadan dan penilaian berterusan, manakala urutan penafian dalam peta laluan menghentikan pengagihan semula laluan sama sekali. Panduan peta laluan pengagihan semula merangkumi klausa itu dan perubahan atribut yang menyertainya.

Kemudian bandingkan jadual penghalaan yang terhasil dengan kedua-dua buku. Makmal yang mula memajukan selepas pengagihan semula meluas telah menunjukkan ketercapaian, bukan niat. Mana-mana entri jadual yang tidak muncul dalam mana-mana satu buku bermakna eksport lebih luas daripada reka bentuk, dan setiap pengumuman kemudian mewarisi kekaburan itu.

Kekalkan contoh keselamatan sama terkini seperti penghalaan

Panduan lama yang bergantung pada algoritma lemah atau rahsia demonstrasi bersama ialah pemerhatian sejarah. Menyalinnya ke dalam makmal yang ingin anda luaskan ialah cara nilai lalai lemah bertahan dalam pengeluaran. Gunakan dasar yang disokong platform dan catat versi yang anda uji, kerana makmal hidup lebih lama daripada tutorial.

Terima satu aliran hos-ke-hos yang diluluskan, trafik pulangannya, dan satu destinasi yang mesti kekal di luar skop perlindungan. Simpan sumber laluan dan pemilih yang dirundingkan dengan setiap keputusan, supaya rekod menunjukkan lapisan mana yang dibuktikan, bukan lapisan mana yang kebetulan aktif.

Apabila sesuatu rosak, buku itu memberitahu lapisan mana yang perlu dibuka. Tiada ketercapaian ke rakan setara ialah pengangkutan, tiada laluan dalaman ialah laluan peribadi, dan laluan yang wujud tanpa pemilih yang sepadan ialah dasar. Tiga ayat, satu diagnosis, tiada tekaan.