Hald to rutebøker i eit IPsec-lab: underlag og verna

To spørsmål flokar seg saman i eit IPsec-lab: korleis ein pakke når den ytre adressa til motparten, og korleis han når dei private netta bak den motparten. Dei høyrer i skilde bøker, fordi ulike ruteprosessar svarar på dei, og dei feilar med ulike symptom. Hald underlagsboka for eksterne endepunkt og neste hopp som når dei. Hald overlegsboka for verna prefiks, gatewayane deira og den tiltenkte vegen gjennom tunnelen. Mesteparten av forvirringa i laben kjem av at ei rute som med rette finst i éi bok, blir lesen som prov om den andre.

To bøker, to spørsmål

Bøkene held seg korte nok til å førast for hand medan laben er liten, og det er nettopp då dei er mest nyttige. To kolonnar er nok: kva oppføringa er, og korleis ho blir nådd.

Skriv begge retningar. Eit prefiks som finst i den utgåande boka og ikkje i returboka, gjev ein tunnel som ber førespurnader og slepp svar. Den halvfungerande tilstanden er det vanlegaste resultatet i laben, og han blir lett forveksla med eit policyproblem.

Skriv destinasjonen før protokollen

Start med destinasjonane, ikkje protokollane. For kvar gateway, noter den ytre adressa og neste hopp som når henne. Noter deretter kvart private prefiks, gatewayen på staden og vegen det skal ta gjennom tunnelen.

Å gjere det før ein vel ein ruteprotokoll held diskusjonen ærleg. Designet kjem med krav i staden for preferansar. Diskusjonen om kva protokoll som skal køyrast blir då eit spørsmål om kva krav som faktisk er vanskeleg.

Statisk eller dynamisk, avgjort per bok

Statisk ruting på transportsida er vanlegvis rett i ein lab: to endepunkt, eitt neste hopp, ingenting å konvergere. Den private sida kan med rimelegheit vere dynamisk, fordi prefiks kjem og går med øvinga. Å køyre éin ruteprotokoll på transportsida og ein annan på den private sida pliktar deg ikkje til å omfordele mellom dei, og å handsame gjensidig omfordeling som ein føresetnad for IPsec er der labar byrjar å produsere resultat ingen kan forklare.

Avgjer dei to bøkene kvar for seg, og noter kva som er dynamisk. Eitt svar for begge sider tyder vanlegvis at dei to spørsmåla aldri vart ordentleg skilde.

Omfordeling er ei policygrense

Der ruter må krysse, gjer kryssinga til ein policy med namngjevne prefiks, retning, metrikkhandsaming og løkkevakt. Prefikslister og rutekart gjev deg alle fire, og taggar held ei omfordelt rute identifiserbar etter at ho har mista den opphavlege konteksten. Les semantikken nøye, fordi dei ikkje er utbyttbare: eit ACL-avslag inne i ein match-klausul tyder at ruta ikkje matchar og vurderinga held fram, medan ein avslagssekvens i eit rutekart stoppar ruta frå å bli omfordelt i det heile. Rettleiinga for rutekart ved omfordeling dekkjer desse klausulane og attributtendringane som følgjer med.

Samanlikn deretter den resulterande rutetabellen med begge bøkene. Ein lab som byrjar å videresende etter brei omfordeling, har vist rekkevidd, ikkje intensjon. Kvar tabelloppføring som ikkje finst i noka av bøkene, tyder at eksporten er breiare enn designet, og kvar seinare annonsering arvar denne tvetydinga.

Hald sikkerheitseksempelet like oppdatert som rutinga

Gamle gjennomgangar som byggjer på svake algoritmar eller ein delt demonstrasjonsløyndom, er historiske observasjonar. Å kopiere dei inn i ein lab du vil utvide, er korleis svake standardverdiar overlever i produksjon. Bruk policyen plattformen støttar, og noter versjonen du testa, fordi laben lever lenger enn opplæringa.

Godta éin godkjend vert-til-vert-straum, returtrafikken og éin destinasjon som må halde seg utanfor vernområdet. Lagre ruteopphavet og dei forhandla selektorane saman med kvart resultat, slik at protokollen viser kva lag som vart prova, ikkje kva lag som tilfeldigvis var oppe.

Når noko bryt, fortel boka kva lag du skal opne. Inga nåbarheit til motparten er transport, inga indre rute er privat veg, og ei rute som finst utan samsvarande selektor, er policy. Tre setningar, éin diagnose, inga gjetting.