Mantenha dois livros de rotas num laboratório IPsec: subjacente e protegido

Duas perguntas emaranham-se num laboratório IPsec: como um pacote chega ao endereço externo do par e como chega às redes privadas atrás desse par. Pertencem a livros separados, porque processos de roteamento diferentes as respondem e falham com sintomas diferentes. Mantenha o livro subjacente para os pontos finais externos e os próximos saltos que os alcançam. Mantenha o livro sobreposto para os prefixos protegidos, os seus gateways e o caminho pretendido pelo túnel. A maior parte da confusão no laboratório vem de ler uma rota que existe legitimamente num livro como prova sobre o outro.

Dois livros, duas perguntas

Os livros permanecem curtos o bastante para serem mantidos à mão enquanto o laboratório é pequeno, e é exatamente aí que são mais úteis. Duas colunas bastam: o que é a entrada e como se chega a ela.

Escreva os dois sentidos. Um prefixo que aparece no livro de saída e não no de retorno produz um túnel que transporta pedidos e deixa cair respostas. Esse estado meio funcional é o resultado mais comum no laboratório, e é facilmente confundido com um problema de política.

Escreva o destino antes do protocolo

Comece pelos destinos, não pelos protocolos. Para cada gateway, registe o endereço externo e o próximo salto que o alcança. Depois registe cada prefixo privado, o seu gateway local e o caminho que deveria seguir pelo túnel.

Fazê-lo antes de escolher um protocolo de roteamento mantém a discussão honesta. O desenho chega com requisitos, não com preferências. O debate sobre que protocolo executar torna-se então uma pergunta sobre que requisito é realmente difícil.

Estático ou dinâmico, decidido por livro

O roteamento estático do lado do transporte costuma estar certo num laboratório: dois extremos, um próximo salto, nada para convergir. O lado privado pode razoavelmente ser dinâmico, porque os prefixos vão e vêm com o exercício. Executar um protocolo de roteamento do lado do transporte e outro do lado privado não o obriga a redistribuir entre eles, e tratar a redistribuição mútua como pré-requisito para IPsec é onde os laboratórios começam a produzir resultados que ninguém consegue explicar.

Decida os dois livros separadamente e anote qual é dinâmico. Uma só resposta para os dois lados normalmente significa que as duas perguntas nunca foram realmente separadas.

A redistribuição é uma fronteira de política

Onde as rotas tiverem de se cruzar, faça do cruzamento uma política com prefixos nomeados, direção, tratamento de métrica e proteção contra ciclos. Listas de prefixos e mapas de rotas dão-lhe as quatro coisas, e as etiquetas mantêm uma rota redistribuída identificável depois de perder o contexto original. Leia a semântica com atenção, porque não são intercambiáveis: uma negação ACL dentro de uma cláusula de correspondência significa que a rota não corresponde e a avaliação continua, enquanto uma sequência de negação num mapa de rotas impede totalmente a rota de ser redistribuída. O guia de mapas de rotas para redistribuição cobre essas cláusulas e as alterações de atributos que as acompanham.

Depois compare a tabela de roteamento resultante com os dois livros. Um laboratório que começa a encaminhar após redistribuição ampla demonstrou alcance, não intenção. Qualquer entrada da tabela que não apareça em nenhum dos dois livros significa que a exportação é mais ampla do que o desenho, e cada anúncio posterior herda essa ambiguidade.

Mantenha o exemplo de segurança tão atual como o roteamento

Guias antigos que assentam em algoritmos fracos ou num segredo de demonstração partilhado são observações históricas. Copiá-los para um laboratório que pretende ampliar é como os padrões fracos sobrevivem em produção. Use a política suportada pela plataforma e anote a versão que testou, porque o laboratório sobrevive ao tutorial.

Aceite um fluxo aprovado de host para host, o respetivo tráfego de retorno e um destino que deve permanecer fora do âmbito de proteção. Guarde a origem da rota e os seletores negociados com cada resultado, para que o registo mostre que camada foi provada, em vez de que camada estava ativa por acaso.

Quando algo quebra, o livro diz que camada abrir. Sem alcance até ao par é transporte, sem rota interna é caminho privado, e uma rota que existe sem seletor correspondente é política. Três frases, um diagnóstico, nenhuma adivinha.