Țineți două registre de rute într-un laborator IPsec: de bază și protejat

Două întrebări se încurcă într-un laborator IPsec: cum ajunge un pachet la adresa externă a partenerului și cum ajunge la rețelele private din spatele acelui partener. Ele aparțin unor registre separate, pentru că procese de rutare diferite le răspund și ele eșuează cu simptome diferite. Țineți registrul stratului de bază pentru punctele finale externe și următoarele salturi care ajung la ele. Țineți registrul stratului superior pentru prefixele protejate, gateway-urile lor și calea dorită prin tunel. Cea mai mare parte a confuziei din laborator vine din citirea unei rute care există legitim într-un registru ca dovadă despre celălalt.

Două registre, două întrebări

Registrele rămân suficient de scurte pentru a fi ținute de mână cât timp laboratorul este mic, și exact atunci sunt cele mai utile. Două coloane sunt suficiente: ce este intrarea și cum se ajunge la ea.

Scrieți ambele direcții. Un prefix care apare în registrul de ieșire și nu în cel de retur produce un tunel care transportă cereri și scapă răspunsuri. Această stare pe jumătate funcțională este rezultatul cel mai frecvent din laborator și este ușor confundată cu o problemă de politică.

Scrieți destinația înaintea protocolului

Începeți cu destinațiile, nu cu protocoalele. Pentru fiecare gateway, notați adresa externă și următorul salt care ajunge la ea. Apoi notați fiecare prefix privat, gateway-ul său local și calea pe care ar trebui să o urmeze prin tunel.

A face asta înainte de a alege un protocol de rutare menține discuția onestă. Designul vine cu cerințe, nu cu preferințe. Dezbaterea despre ce protocol să ruleze devine atunci o întrebare despre care cerință este într-adevăr dificilă.

Static sau dinamic, decis pe registru

Rutarea statică pe partea de transport este de obicei corectă într-un laborator: două capete, un următor salt, nimic de convergent. Partea privată poate fi în mod rezonabil dinamică, pentru că prefixele vin și pleacă odată cu exercițiul. Rularea unui protocol de rutare pe partea de transport și a altuia pe partea privată nu vă obligă să redistribuiți între ele, iar tratarea redistribuirii reciproce ca precondiție pentru IPsec este locul unde laboratoarele încep să producă rezultate pe care nimeni nu le poate explica.

Decideți cele două registre separat și notați care este dinamic. Un singur răspuns pentru ambele părți înseamnă de obicei că cele două întrebări nu au fost niciodată separate cu adevărat.

Redistribuirea este o frontieră de politică

Acolo unde rutele trebuie să se încrucișeze, faceți din încrucișare o politică cu prefixe numite, direcție, tratarea metricii și protecție împotriva buclelor. Listele de prefixe și hărțile de rute vă dau toate patru, iar etichetele păstrează o rută redistribuită identificabilă după ce a pierdut contextul original. Citiți semantica cu atenție, pentru că nu sunt interschimbabile: o respingere ACL în interiorul unei clauze de potrivire înseamnă că ruta nu se potrivește și evaluarea continuă, în timp ce o secvență de respingere într-o hartă de rute oprește complet redistribuirea rutei. Ghidul hărților de rute pentru redistribuire acoperă acele clauze și modificările de atribute care le însoțesc.

Apoi comparați tabelul de rutare rezultat cu ambele registre. Un laborator care începe să transmită după o redistribuire largă a demonstrat accesibilitate, nu intenție. Orice intrare din tabel care nu apare în niciunul dintre registre înseamnă că exportul este mai larg decât designul, iar fiecare anunț ulterior moștenește această ambiguitate.

Țineți exemplul de securitate la fel de actual ca rutarea

Ghidurile vechi care se bazează pe algoritmi slabi sau pe un secret de demonstrație partajat sunt observații istorice. Copierea lor într-un laborator pe care intenționați să îl extindeți este felul în care valorile implicite slabe supraviețuiesc în producție. Folosiți politica acceptată de platformă și notați versiunea testată, pentru că laboratorul trăiește mai mult decât tutorialul.

Acceptați un flux aprobat de la gazdă la gazdă, traficul său de retur și o destinație care trebuie să rămână în afara sferei de protecție. Salvați sursa rutei și selectoarele negociate cu fiecare rezultat, astfel încât înregistrarea să arate ce strat a fost dovedit, nu care strat era activ din întâmplare.

Când ceva se rupe, registrul spune ce strat să deschideți. Lipsa accesibilității la partener este transport, lipsa rutei interne este cale privată, iar o rută care există fără un selector potrivit este politică. Trei propoziții, un diagnostic, nicio presupunere.