Scrie traseul pachetului înainte de a configura VPN-ul

Majoritatea construcțiilor VPN încep cu un client și un profil, iar când tunelul este sus nimeni nu mai poate spune ce pachet ar fi trebuit să-l traverseze. Prima pagină de lucru este mai ieftină decât a treia oră de depanare: descrie o singură conexiune dorită de la un capăt la altul, pe hârtie, înainte să existe un fișier de configurare. Exercițiul lămurește de obicei o întrebare pe care nu ți-ai pus-o încă, cum ar fi dacă cerința este o ieșire în internet, acces la distanță la un subnet sau o legătură între două locații.

O singură conexiune este suficientă pentru început. Trei pagini de topologie ascund de obicei același răspuns lipsă.

Descrie o cerere, nu o diagramă

Începe cu expeditorul: un interval de adrese, o familie de adrese și aplicația care originează traficul. Apoi numește prefixul destinației și serviciul de pe el, până la port și protocol, pentru că o regulă care permite subnetul dar nu serviciul este o regulă care nu face nimic. Cele două adrese sunt tot sensul, iar tot ce se află dedesubt este mecanismul care trebuie să fie de acord cu ele.

Enumeră traseul în ordine: legătura fizică, punctul final VPN de la fiecare capăt, tunelul însuși și rețeaua de dincolo de el. Scrie numele interfețelor dacă le știi, pentru că acel detaliu transformă o descriere în ceva ce poți compara mai târziu cu un tabel de rutare. Adaugă adresa pe care o folosește fiecare interfață pe partea tunelului. Fără aceste două fapte nimeni altcineva nu poate verifica registrul față de dispozitiv.

Acum numește singura conexiune dorită într-o singură propoziție în partea de sus a paginii. Dacă acea propoziție are nevoie de cuvântul sau, ai două proiecte și ar trebui să le tratezi separat.

Urmează răspunsul înaintea cererii

Un traseu care descrie doar direcția de ieșire este jumătate de document. Urmează răspunsul înapoi și identifică ce dispozitiv cunoaște intervalul expeditorului, dacă o traducere schimbă sursa pe drumul spre exterior și unde se așteaptă să intre pachetul de retur. În răspuns eșuează majoritatea construcțiilor, pentru că cererea este ușor de observat, iar răspunsul nu.

Notează explicit orice traducere de adrese, inclusiv unde are loc și ce vede apoi capătul îndepărtat. Un partener care înregistrează o adresă și rutează către alta descrie două proiecte diferite.

Tratează rezolvarea numelor ca un schimb propriu, nu ca parte a rutei aplicației. O înregistrare internă poate avea nevoie de un resolver accesibil doar prin tunel, iar un registru de traseu care se oprește la prefixul aplicației nu îl va dezvălui. Același lucru este valabil pentru orice validare de certificat care depinde de accesarea unei autorități interne.

Dă fiecărei decizii un responsabil

Pentru fiecare rută, regulă de firewall, selector și acreditare, notează ce configurație o deține și ce persoană o poate schimba. Un responsabil pe linie este ceea ce face documentul să supraviețuiască primei cereri de schimbare, pentru că alternativa este un document care descrie intenția și o rețea care descrie istoria.

Fii atent la doi responsabili pentru o singură valoare implicită. Un script de client și un manager de rețea pot instala amândoi rute fără ca unul să știe de celălalt, iar o permisiune de ascultare pe gateway nu este aceeași permisiune ca redirecționarea. Ambele cazuri produc un registru de traseu corect pe hârtie și greșit pe cablu.

Acolo unde o valoare este decisă de un furnizor și nu de tine, spune asta pe aceeași linie. Un prefix delegat de o companie de găzduire are un proces de schimbare diferit de unul pe care l-ai ales singur. Acea notă economisește un tichet de suport pentru următorul inginer în timpul unui incident. Explică și de ce o schimbare pe care ai aprobat-o nu a avut niciun efect.

Descrie ce se rupe și cum îți revii

Pentru fiecare etapă a traseului, spune ce se oprește când tunelul dispare și ce conexiune de ieșire trebuie să rămână accesibilă ca să o poți repara. Un proiect care își pierde accesul de administrare odată cu tunelul este un proiect care necesită o vizită la fața locului.

Tunelul complet și tunelul divizat aparțin acestei pagini ca o alegere explicită și nu ca o casetă de bifat, pentru că schimbă atât modul de eșec, cât și calea de recuperare.

Numește un test inofensiv pentru fiecare etapă

Accesibilitatea punctului final, stabilirea tunelului, adresa privată, numele privat și permisiunea aplicației sunt cinci observații diferite, iar fiecare are nevoie de un test care să nu poată fi confundat cu altul. Un ping către gateway dovedește cel mult primele două. O conexiune la portul aplicației dovedește a patra și a cincea doar dacă numele a fost rezolvat prin resolverul dorit.

Scrie testul lângă etapa pe care o acoperă, inclusiv comanda și ieșirea așteptată. O pagină de trasee precise bate o pagină de comenzi care nu spune niciodată ce pachete trebuiau afectate.