Prowadź dwa rejestry tras w laboratorium IPsec: podkład i ochrona
Dwa rejestry: jeden dociera do peera, drugi niesie prefiksy prywatne. Śledź oba i traktuj redystrybucję jako decyzję polityki, a nie skrót.
Dwa pytania splatają się w laboratorium IPsec: jak pakiet dociera do zewnętrznego adresu peera i jak dociera do sieci prywatnych za tym peerem. Należą do osobnych rejestrów, bo odpowiadają na nie różne procesy routingu i zawodzą z różnymi objawami. Prowadź rejestr podkładu dla zewnętrznych punktów końcowych i następnych skoków, które do nich docierają. Prowadź rejestr warstwy nakładkowej dla chronionych prefiksów, ich bram i zamierzonej ścieżki przez tunel. Większość zamieszania w laboratorium bierze się z czytania trasy, która legalnie istnieje w jednym rejestrze, jako dowodu na temat drugiego.
Dwa rejestry, dwa pytania
Rejestry pozostają dość krótkie, by prowadzić je ręcznie, dopóki laboratorium jest małe, i właśnie wtedy są najbardziej użyteczne. Dwie kolumny wystarczą: czym jest wpis i jak się do niego dociera.
| Ledger | What it lists |
|---|---|
| Underlay | Each gateway's external address and the next hop that reaches it |
| Protected | Each private prefix, its local gateway and its intended path through the tunnel |
Zapisz oba kierunki. Prefiks, który jest w rejestrze wyjściowym, a nie ma go w rejestrze powrotnym, tworzy tunel, który niesie żądania i gubi odpowiedzi. Ten na wpół działający stan to najczęstszy wynik w laboratorium, i łatwo pomylić go z problemem polityki.
Zapisz cel przed protokołem
Zacznij od celów, nie od protokołów. Dla każdej bramy zapisz adres zewnętrzny i następny skok, który do niej dociera. Potem zapisz każdy prefiks prywatny, jego bramę lokalną i ścieżkę, którą powinien przejść przez tunel.
Zrobienie tego przed wyborem protokołu routingu utrzymuje uczciwą dyskusję. Projekt przychodzi z wymaganiami, a nie z preferencjami. Spór o to, który protokół uruchomić, staje się wtedy pytaniem o to, które wymaganie jest naprawdę trudne.
Statycznie czy dynamicznie, decyduje się per rejestr
Statyczny routing po stronie transportu jest w laboratorium zwykle właściwy: dwa punkty końcowe, jeden następny skok, nic do zbieżności. Strona prywatna może rozsądnie być dynamiczna, bo prefiksy przychodzą i odchodzą wraz z ćwiczeniem. Uruchamianie jednego protokołu routingu po stronie transportu i innego po stronie prywatnej nie zobowiązuje do redystrybucji między nimi, a traktowanie wzajemnej redystrybucji jako warunku wstępnego dla IPsec to miejsce, w którym laboratoria zaczynają dawać wyniki, których nikt nie potrafi wyjaśnić.
Zdecyduj o obu rejestrach osobno i zaznacz, który jest dynamiczny. Jedna odpowiedź dla obu stron zwykle oznacza, że oba pytania nigdy nie zostały naprawdę rozdzielone.
Redystrybucja to granica polityki
Tam, gdzie trasy muszą się przecinać, uczyń przecięcie polityką z nazwanymi prefiksami, kierunkiem, obróbką metryki i ochroną przed pętlami. Listy prefiksów i mapy tras dają wszystkie cztery, a tagi utrzymują redystrybuowaną trasę rozpoznawalną po utracie pierwotnego kontekstu. Czytaj semantykę uważnie, bo nie są zamienne: odmowa ACL wewnątrz klauzuli dopasowania oznacza, że trasa nie pasuje i ocena trwa dalej, natomiast sekwencja odmowy w mapie tras całkowicie zatrzymuje redystrybucję trasy. Przewodnik po mapach tras dla redystrybucji obejmuje te klauzule i towarzyszące im zmiany atrybutów.
Następnie porównaj wynikową tablicę routingu z oboma rejestrami. Laboratorium, które po szerokiej redystrybucji zaczyna przekazywać, wykazało osiągalność, a nie zamiar. Każdy wpis w tablicy, którego nie ma w żadnym z rejestrów, oznacza, że eksport jest szerszy niż projekt, i każde późniejsze ogłoszenie dziedziczy tę niejednoznaczność.
Utrzymuj przykład bezpieczeństwa tak aktualny jak routing
Stare przewodniki opierające się na słabych algorytmach lub wspólnym sekrecie demonstracyjnym to obserwacje historyczne. Kopiowanie ich do laboratorium, które zamierzasz rozszerzyć, to sposób, w jaki słabe ustawienia domyślne przeżywają w produkcji. Używaj polityki obsługiwanej przez platformę i zapisuj testowaną wersję, bo laboratorium żyje dłużej niż samouczek.
Przyjmij jeden zatwierdzony przepływ od hosta do hosta, jego ruch powrotny i jeden cel, który musi pozostać poza zakresem ochrony. Zapisuj źródło trasy i wynegocjowane selektory z każdym wynikiem, aby zapis pokazywał, która warstwa została udowodniona, a nie która warstwa przypadkiem działała.
Gdy coś się psuje, rejestr mówi, którą warstwę otworzyć. Brak osiągalności peera to transport, brak trasy wewnętrznej to ścieżka prywatna, a trasa istniejąca bez pasującego selektora to polityka. Trzy zdania, jedna diagnoza, żadnego zgadywania.