Houd twee routelogboeken bij in een IPsec-lab: onderlaag en beschermd

Twee vragen raken verstrengeld in een IPsec-lab: hoe een pakket het buitenadres van de peer bereikt, en hoe het de privénetwerken achter die peer bereikt. Ze horen in aparte boeken, omdat verschillende routeringsprocessen ze beantwoorden en ze met verschillende symptomen falen. Houd het onderlaagboek bij voor externe eindpunten en de volgende hops die ze bereiken. Houd het bovenlaagboek bij voor beschermde prefixen, hun gateways en het beoogde pad door de tunnel. De meeste verwarring in het lab komt doordat een route die terecht in het ene boek staat, wordt gelezen als bewijs over het andere.

Twee boeken, twee vragen

De boeken blijven kort genoeg om ze met de hand bij te houden zolang het lab klein is, en juist dan zijn ze het nuttigst. Twee kolommen volstaan: wat de vermelding is, en hoe die wordt bereikt.

Schrijf beide richtingen op. Een prefix dat in het uitgaande boek staat en niet in het retourboek, levert een tunnel op die verzoeken draagt en antwoorden laat vallen. Die halfwerkende toestand is de meest voorkomende uitkomst in het lab, en ze wordt makkelijk voor een beleidsprobleem aangezien.

Schrijf de bestemming voor het protocol

Begin met bestemmingen, niet met protocollen. Noteer voor elke gateway het buitenadres en de volgende hop die hem bereikt. Noteer daarna elk privé-prefix, zijn lokale gateway en het pad dat het door de tunnel moet volgen.

Dat doen voordat een routeringsprotocol wordt gekozen, houdt de discussie eerlijk. Het ontwerp komt met eisen in plaats van voorkeuren. Het debat over welk protocol te draaien wordt dan een vraag over welke eis echt moeilijk is.

Statisch of dynamisch, per boek beslist

Statische routering aan de transportzijde is in een lab meestal juist: twee eindpunten, één volgende hop, niets om te convergeren. De privézijde mag redelijkerwijs dynamisch zijn, omdat prefixen met de oefening komen en gaan. Eén routeringsprotocol aan de transportzijde en een ander aan de privézijde draaien verplicht je niet om ertussen te herverdelen, en wederzijdse herverdeling als voorwaarde voor IPsec behandelen is waar labs resultaten beginnen te produceren die niemand kan verklaren.

Beslis de twee boeken afzonderlijk en noteer welke dynamisch is. Eén antwoord voor beide kanten betekent meestal dat de twee vragen nooit echt gescheiden zijn.

Herverdeling is een beleidsgrens

Waar routes moeten kruisen, maak van de kruising een beleid met benoemde prefixen, richting, metriekbehandeling en een luswacht. Prefixlijsten en routemaps geven je alle vier, en tags houden een herverdeelde route herkenbaar nadat die zijn oorspronkelijke context heeft verloren. Lees de semantiek zorgvuldig, want ze zijn niet uitwisselbaar: een ACL-deny binnen een match-clausule betekent dat de route niet matcht en de evaluatie doorgaat, terwijl een deny-reeks in een routemap de route helemaal niet meer laat herverdelen. De gids voor routemaps bij herverdeling behandelt die clausules en de attribuutwijzigingen die erbij horen.

Vergelijk daarna de resulterende routetabel met beide boeken. Een lab dat na brede herverdeling begint door te sturen, heeft bereikbaarheid aangetoond, niet bedoeling. Elke tabelvermelding die in geen van beide boeken voorkomt, betekent dat de export breder is dan het ontwerp, en elke latere aankondiging erft die ambiguïteit.

Houd het beveiligingsvoorbeeld even actueel als de routering

Oude handleidingen die op zwakke algoritmen of een gedeeld demonstratiegeheim leunen, zijn historische observaties. Ze kopiëren naar een lab dat je wilt uitbreiden, is hoe zwakke standaardwaarden in productie overleven. Gebruik het beleid dat het platform ondersteunt en noteer de versie die je hebt getest, want het lab leeft langer dan de tutorial.

Accepteer één goedgekeurde host-naar-host-stroom, het retourverkeer en één bestemming die buiten het beschermingsbereik moet blijven. Bewaar de routebron en de onderhandelde selectors bij elk resultaat, zodat het verslag laat zien welke laag bewezen is, niet welke laag toevallig actief was.

Als er iets breekt, zegt het boek welke laag je moet openen. Geen bereikbaarheid naar de peer is transport, geen binnenroute is privépad, en een route die bestaat zonder passende selector is beleid. Drie zinnen, één diagnose, geen giswerk.