Napíšte cestu paketu skôr, než nakonfigurujete VPN

Väčšina stavieb VPN začína klientom a profilom, a keď je tunel hore, nikto nedokáže povedať, ktorý paket ním mal prejsť. Prvá strana práce je lacnejšia ako tretia hodina ladenia: opíšte jedno zamýšľané spojenie od konca po koniec na papieri skôr, než existuje konfiguračný súbor. Cvičenie zvyčajne vyrieši otázku, ktorú ste si ešte nepoložili, napríklad či požiadavkou je výstup do internetu, vzdialený prístup k podsieti alebo prepojenie medzi dvoma lokalitami.

Na začiatok stačí jedno spojenie. Tri strany topológie zvyčajne skrývajú tú istú chýbajúcu odpoveď.

Opíšte jednu požiadavku, nie diagram

Začnite od odosielateľa: rozsah adries, rodina adries a aplikácia, ktorá prevádzku vytvára. Potom pomenujte prefix cieľa a službu na ňom, až po port a protokol, pretože pravidlo, ktoré povoľuje podsieť, ale nie službu, je pravidlo, ktoré nič nerobí. Dve adresy sú celý zmysel a všetko pod nimi je mechanizmus, ktorý s nimi musí súhlasiť.

Vypíšte cestu v poradí: fyzické prepojenie, koncový bod VPN na každej strane, samotný tunel a sieť za ním. Napíšte názvy rozhraní, ak ich poznáte, pretože práve tento detail robí z opisu niečo, čo neskôr môžete porovnať s routovacou tabuľkou. Pridajte adresu, ktorú každé rozhranie používa na strane tunela. Bez týchto dvoch faktov nikto iný nemôže skontrolovať záznam voči zariadeniu.

Teraz pomenujte jediné zamýšľané spojenie v jednej vete v hornej časti strany. Ak tá veta potrebuje slovo alebo, máte dva návrhy a mali by ste ich riešiť oddelene.

Sledujte odpoveď pred požiadavkou

Cesta, ktorá opisuje len odchádzajúci smer, je polovica dokumentu. Sledujte odpoveď späť a zistite, ktoré zariadenie pozná rozsah odosielateľa, či preklad mení zdroj na ceste von a kde sa očakáva vstup spiatočného paketu. Práve na odpovedi zlyháva väčšina stavieb, pretože požiadavku je ľahké pozorovať a odpoveď nie.

Výslovne poznamenajte každý preklad adries, vrátane toho, kde sa deje a čo potom vidí vzdialený koniec. Partner, ktorý zaznamenáva jednu adresu a smeruje na inú, opisuje dva odlišné návrhy.

Preklad názvov berte ako samostatnú výmenu, nie ako súčasť cesty aplikácie. Interný záznam môže potrebovať prekladač dostupný len cez tunel a záznam cesty, ktorý sa zastaví na prefixe aplikácie, to neodhalí. To isté platí pre akékoľvek overenie certifikátu, ktoré závisí od dosiahnutia internej autority.

Každému rozhodnutiu dajte vlastníka

Pre každú trasu, pravidlo firewallu, selektor a prihlasovací údaj zapíšte, ktorá konfigurácia ho drží a ktorá osoba ho môže zmeniť. Vlastník na riadok je to, čo umožní dokumentu prežiť prvú žiadosť o zmenu, pretože alternatívou je dokument, ktorý opisuje zámer, a sieť, ktorá opisuje históriu.

Dávajte pozor na dvoch vlastníkov jednej predvolenej hodnoty. Klientsky skript a správca siete môžu obaja nainštalovať trasy bez toho, aby jeden o druhom vedel, a povolenie na počúvanie na bráne nie je to isté povolenie ako preposielanie. Oba prípady vedú k záznamu cesty, ktorý je správny na papieri a nesprávny na kábli.

Tam, kde hodnotu určuje poskytovateľ a nie vy, povedzte to na tom istom riadku. Prefix delegovaný hostingovou spoločnosťou má iný proces zmeny než ten, ktorý ste si vybrali sami. Tá poznámka ušetrí ďalšiemu inžinierovi podporný lístok počas incidentu. Vysvetľuje aj, prečo zmena, ktorú ste schválili, nemala žiadny účinok.

Opíšte, čo sa pokazí a ako sa zotavíte

Pre každú etapu cesty uveďte, čo sa zastaví, keď tunel zmizne, a ktoré odchádzajúce spojenie musí zostať dostupné, aby ste to mohli opraviť. Návrh, ktorý stratí prístup na správu spolu s tunelom, je návrh, ktorý vyžaduje návštevu na mieste.

Plný tunel a rozdelený tunel patria na túto stranu ako výslovná voľba a nie ako zaškrtávacie pole, pretože menia režim zlyhania aj cestu obnovy.

Pomenujte neškodný test pre každú etapu

Dostupnosť koncového bodu, vytvorenie tunela, privátna adresa, privátny názov a povolenie aplikácie sú päť rôznych pozorovaní a každé potrebuje test, ktorý si nemožno pomýliť s iným. Ping na bránu dokazuje nanajvýš prvé dve. Spojenie na port aplikácie dokazuje štvrté a piate len vtedy, ak bol názov preložený zamýšľaným prekladačom.

Napíšte test vedľa etapy, ktorú pokrýva, vrátane príkazu a očakávaného výstupu. Strana presných ciest porazí stranu príkazov, ktorá nikdy nepovie, na ktoré pakety mali pôsobiť.