Veďte dva registre trás v laboratóriu IPsec: podkladový a chránený
Dva registre: jeden sa dostane k partnerovi, druhý nesie privátne prefixy. Sledujte oba a redistribúciu berte ako rozhodnutie politiky, nie ako skratku.
V laboratóriu IPsec sa prepletajú dve otázky: ako sa paket dostane k vonkajšej adrese partnera a ako sa dostane k privátnym sieťam za týmto partnerom. Patria do oddelených registrov, pretože na ne odpovedajú rôzne procesy smerovania a zlyhávajú s rôznymi príznakmi. Veďte register podkladu pre vonkajšie koncové body a ďalšie skoky, ktoré k nim vedú. Veďte register nadstavby pre chránené prefixy, ich brány a zamýšľanú cestu tunelom. Väčšina zmätku v laboratóriu vzniká tým, že trasa, ktorá v jednom registri oprávnene existuje, sa číta ako dôkaz o druhom.
Dva registre, dve otázky
Registre zostávajú dosť krátke na ručné vedenie, kým je laboratórium malé, a práve vtedy sú najužitočnejšie. Stačia dva stĺpce: čo je záznam a ako sa k nemu dostane.
| Ledger | What it lists |
|---|---|
| Underlay | Each gateway's external address and the next hop that reaches it |
| Protected | Each private prefix, its local gateway and its intended path through the tunnel |
Zapíšte oba smery. Prefix, ktorý je vo výstupnom registri a nie je vo vratnom, vytvára tunel, ktorý nesie požiadavky a zahadzuje odpovede. Tento polofunkčný stav je najčastejší výsledok laboratória a ľahko sa zamení za problém politiky.
Napíšte cieľ skôr než protokol
Začnite cieľmi, nie protokolmi. Pre každú bránu zaznamenajte vonkajšiu adresu a ďalší skok, ktorý k nej vedie. Potom zaznamenajte každý privátny prefix, jeho miestnu bránu a cestu, ktorou má prejsť tunelom.
Urobiť to pred voľbou smerovacieho protokolu udržiava diskusiu poctivú. Návrh prichádza s požiadavkami, nie s preferenciami. Hádka o tom, ktorý protokol prevádzkovať, sa potom zmení na otázku, ktorá požiadavka je skutočne náročná.
Staticky alebo dynamicky, rozhoduje sa po registroch
Statické smerovanie na transportnej strane je v laboratóriu zvyčajne správne: dva koncové body, jeden ďalší skok, nič na konvergenciu. Privátna strana môže byť rozumne dynamická, pretože prefixy s cvičením prichádzajú a odchádzajú. Prevádzkovanie jedného smerovacieho protokolu na transportnej strane a iného na privátnej strane vás nezaväzuje redistribuovať medzi nimi, a považovať vzájomnú redistribúciu za predpoklad pre IPsec je miesto, kde laboratóriá začínajú produkovať výsledky, ktoré nikto nedokáže vysvetliť.
O oboch registroch rozhodnite oddelene a poznačte, ktorý je dynamický. Jedna odpoveď pre obe strany zvyčajne znamená, že sa obe otázky nikdy skutočne neoddelili.
Redistribúcia je hranica politiky
Tam, kde sa trasy musia križovať, urobte z križovania politiku s pomenovanými prefixmi, smerom, spracovaním metriky a ochranou proti slučkám. Zoznamy prefixov a mapy trás vám dajú všetky štyri, a značky udržujú redistribuovanú trasu identifikovateľnú po tom, čo stratila pôvodný kontext. Čítajte sémantiku pozorne, pretože nie sú zameniteľné: zamietnutie ACL vnútri klauzuly zhody znamená, že trasa sa nezhoduje a vyhodnocovanie pokračuje, zatiaľ čo postupnosť zamietnutí v mape trás zastaví redistribúciu trasy úplne. Príručka máp trás pre redistribúciu pokrýva tieto klauzuly a zmeny atribútov, ktoré s nimi idú.
Potom porovnajte výslednú smerovaciu tabuľku s oboma registrami. Laboratórium, ktoré po širokej redistribúcii začne preposielať, preukázalo dosiahnuteľnosť, nie zámer. Každý záznam v tabuľke, ktorý nie je v žiadnom z registrov, znamená, že export je širší než návrh, a každé ďalšie oznámenie túto nejednoznačnosť dedí.
Udržujte bezpečnostný príklad rovnako aktuálny ako smerovanie
Staré postupy spoliehajúce sa na slabé algoritmy alebo zdieľané demonštračné tajomstvo sú historické pozorovania. Ich kopírovanie do laboratória, ktoré chcete rozšíriť, je spôsob, akým slabé predvolené hodnoty prežívajú v produkcii. Použite politiku podporovanú platformou a poznačte verziu, ktorú ste testovali, pretože laboratórium prežije tutoriál.
Prijmite jeden schválený tok od hostiteľa k hostiteľovi, jeho spätnú prevádzku a jeden cieľ, ktorý musí zostať mimo rozsahu ochrany. Uložte zdroj trasy a vyjednané selektory s každým výsledkom, aby záznam ukazoval, ktorá vrstva bola preukázaná, a nie ktorá vrstva náhodou bežala.
Keď sa niečo pokazí, register povie, ktorú vrstvu otvoriť. Žiadna dosiahnuteľnosť partnera je transport, žiadna vnútorná trasa je privátna cesta a trasa, ktorá existuje bez zodpovedajúceho selektora, je politika. Tri vety, jedna diagnóza, žiadne hádanie.