Statičke rute ili protokol usmjeravanja preko VPN-a od lokacije do lokacije?

Obje opcije prenose pakete između lokacija, pa odluka nije o tome koji je protokol noviji, a veličina tunela je također ne rješava. Rješavaju je tri uvjeta: koliko se prefiksa mijenja i koliko često, treba li dizajnu automatski prijelaz između putanja, i koliko mehanizama kontrolnog sloja tim može održavati u tri sata ujutro. Odgovorite na to iskreno i izbor se obično sam nametne. Ostatak ovog teksta je što svaki odgovor košta.

Tri uvjeta odlučuju

Prvi uvjet je promjenjivost. Nekoliko stabilnih podmreža s jasnim vlasništvom može se godinama održavati ručno, a svaka ruta ostaje redak koji netko može pročitati i provjeriti. Deseci prefiksa koji se sele kako projekti dolaze i odlaze drugi su problem, jer svaki prijelaz mora stići do svakog uređaja koji još pamti stari put.

Drugi je ponašanje pri otkazu. Kada rezervna putanja mora postati aktivna bez toga da to čovjek primijeti, nešto mora otkriti otkaz i povući rutu. Statičko usmjeravanje to može samo praćenjem ili uvjetnom instalacijom, i to samo za otkaze koje ste unaprijed predvidjeli.

Treći je apetit za drugi kontrolni sloj. Protokol usmjeravanja dodaje sesije, autentifikaciju, filtre i politiku odabira, a svako od toga traži nadzor i proces promjena. To je trajni operativni trošak, a ne jednokratni zadatak konfiguracije.

Tablica ispod trećeg odlomka kratka je verzija, a tri odjeljka nakon nje objašnjavaju zašto svaki redak stoji gdje stoji. Čitajte retke prema svom broju lokacija prije odabira, jer odluka koja zanemaruje operativni trošak samo je pola odluke.

Koliko statičko usmjeravanje zapravo košta

Statička ruta mora biti točna s obje strane tunela. Dodavanje podmreže znači uređivanje udaljenog pristupnika, lokalnog pristupnika i obično povratne putanje, a zaboravljanje bilo kojeg od njih daje jednosmjerni otkaz koji izgleda kao greška u aplikaciji. Aplikacijski tim vidi isteke vremena, dok mrežni tim vidi rutu koja postoji i naizgled je zdrava. Nijedan tim nije u krivu, i zato je ovaj otkaz tako teško smjestiti.

Statički zapis također ostaje instaliran nakon što putanja ispod njega nestane. Ako platforma ne nudi praćenje, ruta nastavlja pokazivati na sljedeći skok koji više ne prosljeđuje, a promet nestaje umjesto da se prebaci. Ta tišina je trošak koji prihvaćate kada birate jednostavnu opciju.

Upišite metodu praćenja uz svaku rutu, zabilježite koje otkaze pokriva i držite popis uz konfiguraciju tunela. Inače sljedeći prekid otkrije korisnik, a ne mreža, što je uvijek skuplje otkriće.

Koliko dinamičko usmjeravanje zapravo košta

Protokol oglašava nove prefikse, povlači nedostupne i izražava preferenciju između putanja. To je istinski korisno kada bi nekoliko lokacija ili redundantni tuneli inače tražili usklađene izmjene pri svakoj promjeni. To je i razlog zašto vas protokol može iznenaditi u najgorem trenutku. Svaka od tih radnji promjena je stanja koju niste sami napravili.

On stvara dva stanja koja se mogu razilaziti. Tunel može biti podignut dok je sesija usmjeravanja spuštena, a sesija može biti podignuta dok njezina oglašavanja izostavljaju podmrežu koja treba aplikaciji. Oba izgledaju kao mreža koja radi na pola, a nijedno se ne vidi sa stranice stanja tunela.

Filtri i politika zato postaju dio dizajna, a ne naknadna misao. Protokol koji oglašava sve na kraju će oglasiti nešto pogrešno, a pogrešan prefiks putuje brže od osobe koja ga može ispraviti. Napišite filtre prije nego što se prva sesija omogući, da prvo oglašavanje već bude namjerno.

Kontrolirajte što sesija usmjeravanja smije reći

Odredite dopušteni popis prefiksa po peeru i primijenite ga na ulazu, jer izlazni filtar ne može spriječiti peera da vam pošalje zadanu rutu. Zadane rute i agregati su skupe pogreške ovdje: mogu tiho zamijeniti nepovezane putanje jednim naučenim zapisom koji izgleda legitimno. Odbijte ih izričito, osim ako dizajn to zaista želi.

Upišite lokaciju vlasnika uz svaku mrežu prije nego što se prva sesija podigne, jer je to mapiranje izvor popisa filtara, a ne ukras dokumentacije. Bez toga osoba koja uređuje filtar mora nagađati koja lokacija treba oglašavati prefiks.

Redistribucija između dva protokola mjesto je gdje petlje počinju i gdje isti prefiks stiže dvaput s atributima koji se ne uspoređuju čisto. Držite redistribuciju izvan dizajna dok je konkretan zahtjev ne nametne, a ako mora postojati, označite i filtrirajte rute na granici.

Tunelska sučelja zasnovana na rutama čine dinamičko usmjeravanje lakšim za prikaz, jer tunel postaje sučelje s rutama umjesto politike koja uparuje selektore. To ne uklanja pitanje opsega peera: IPsec selektori i dalje moraju dopuštati promet koji namjeravate usmjeravati.

Testirajte putanju otkaza, a ne sretnu putanju

Što god odabrali, spustite jednu uzlaznu vezu i potvrdite da se promet pomiče ili da pada na način koji ste dokumentirali. Dizajn testiran samo s obje zdrave putanje dizajn je koji uopće nije testiran. Izmjerite vrijeme otkrivanja dok ste tamo, jer broj koji ste izmjerili broj je koji će korisnici osjetiti.

Zatim neovisno potvrdite povratnu putanju, jer je asimetrično usmjeravanje preko VPN-a uobičajeno i nevidljivo dok uređaj koji čuva stanje ne odbaci odgovore. Tok koji radi u jednom smjeru dokazuje samo pola putanje.

Redoslijed rada: prebrojite prefikse, odlučite kako se otkazi trebaju otkrivati, provjerite tko može održavati protokol, kontrolirajte što se oglašava, pa testirajte jedan prekid od početka do kraja. Svaki korak daje činjenicu koja treba sljedećem.