Schrijf het pakketpad voordat je de VPN configureert

De meeste VPN-opstellingen beginnen met een client en een profiel, en tegen de tijd dat de tunnel staat kan niemand meer zeggen welk pakket erdoorheen had moeten gaan. De eerste pagina werk is goedkoper dan het derde uur debuggen: beschrijf één bedoelde verbinding van begin tot eind, op papier, voordat er een configuratiebestand bestaat. De oefening beslecht meestal een vraag die je nog niet had gesteld, zoals of de eis een internetuitgang, externe toegang tot een subnet of een verbinding tussen twee locaties is.

Eén verbinding is genoeg om te beginnen. Drie pagina's topologie verbergen meestal hetzelfde ontbrekende antwoord.

Beschrijf één verzoek, geen diagram

Begin bij de afzender: een adresbereik, een adresfamilie en de toepassing die het verkeer veroorzaakt. Noem dan het bestemmingsprefix en de dienst daarop, tot aan poort en protocol, want een regel die het subnet wel maar de dienst niet toestaat is een regel die niets doet. De twee adressen zijn het hele punt, en alles hieronder is de machinerie die ermee moet kloppen.

Noem het pad in volgorde: de fysieke schakel, het VPN-eindpunt aan elke kant, de tunnel zelf en het netwerk erachter. Schrijf de interfacenamen op als je ze kent, want dat detail maakt van een beschrijving iets wat je later met een routingtabel kunt vergelijken. Voeg het adres toe dat elke interface aan de tunnelkant gebruikt. Zonder die twee feiten kan niemand anders het verslag tegen het apparaat controleren.

Noem nu de ene bedoelde verbinding in één zin bovenaan de pagina. Als die zin het woord of nodig heeft, heb je twee ontwerpen en moet je ze apart behandelen.

Volg het antwoord vóór het verzoek

Een pad dat alleen de uitgaande richting beschrijft is een half document. Volg de reactie terug en bepaal welk apparaat het bereik van de afzender kent, of een vertaling de bron onderweg verandert en waar het retourpakket geacht wordt binnen te komen. Het antwoord is waar de meeste opstellingen mislukken, omdat het verzoek makkelijk te observeren is en het antwoord niet.

Noteer elke adresvertaling expliciet, inclusief waar die plaatsvindt en wat de andere kant dan ziet. Een peer die het ene adres logt en naar het andere routeert, beschrijft twee verschillende ontwerpen.

Behandel naamresolutie als een eigen uitwisseling en niet als onderdeel van de route van de toepassing. Een intern record kan een resolver nodig hebben die alleen via de tunnel bereikbaar is, en een padverslag dat bij het prefix van de toepassing stopt zal dat niet onthullen. Hetzelfde geldt voor elke certificaatvalidatie die afhangt van het bereiken van een interne autoriteit.

Geef elke beslissing een eigenaar

Schrijf voor elke route, firewallregel, selector en referentie op welke configuratie die bevat en welke persoon die mag wijzigen. Een eigenaar per regel is wat het document de eerste wijzigingsaanvraag laat overleven, want het alternatief is een document dat de bedoeling beschrijft en een netwerk dat de geschiedenis beschrijft.

Let op twee eigenaren van één standaardwaarde. Een clientscript en een netwerkbeheerder kunnen allebei routes installeren zonder dat de een van de ander weet, en een luistertoestemming op de gateway is niet dezelfde toestemming als doorsturen. Beide gevallen leveren een padverslag op dat op papier klopt en op de kabel niet.

Waar een waarde door een provider wordt bepaald en niet door jou, zeg dat op dezelfde regel. Een prefix dat een hostingbedrijf delegeert heeft een ander wijzigingsproces dan een dat je zelf koos. Die notitie bespaart de volgende engineer een supportticket tijdens een incident. Ze verklaart ook waarom een wijziging die je goedkeurde geen effect had.

Beschrijf wat er breekt en hoe je herstelt

Zeg voor elke fase van het pad wat stopt wanneer de tunnel verdwijnt en welke uitgaande verbinding bereikbaar moet blijven zodat je het kunt repareren. Een ontwerp dat zijn beheerstoegang samen met de tunnel verliest, is een ontwerp dat een bezoek ter plaatse vereist.

Volledige tunnel en split-tunnel horen als een expliciete keuze op deze pagina en niet als een selectievakje, omdat ze zowel de faalmodus als het herstelpad veranderen.

Noem een onschadelijke test voor elke fase

Bereikbaarheid van het eindpunt, totstandkoming van de tunnel, privéadres, privénaam en toepassingstoestemming zijn vijf verschillende waarnemingen, en elk heeft een test nodig die niet met een andere te verwarren is. Een ping naar de gateway bewijst hooguit de eerste twee. Een verbinding naar de toepassingspoort bewijst de vierde en vijfde alleen als de naam via de bedoelde resolver is opgelost.

Schrijf de test naast de fase die hij dekt, inclusief het commando en de verwachte uitvoer. Een pagina met precieze paden verslaat een pagina met commando's die nooit zegt op welke pakketten ze waren gericht.