Vodite dva dnevnika poti v laboratoriju IPsec: osnovni in zaščiteni

V laboratoriju IPsec se prepletata dve vprašanji: kako paket doseže zunanji naslov partnerja in kako doseže zasebna omrežja za tem partnerjem. Pripadata ločenima dnevnikoma, ker nanju odgovarjajo različni procesi usmerjanja in odpovedujeta z različnimi simptomi. Vodite dnevnik osnovnega sloja za zunanje končne točke in naslednje skoke, ki jih dosežejo. Vodite dnevnik zgornjega sloja za zaščitene predpone, njihove prehode in predvideno pot skozi tunel. Večina zmede v laboratoriju izvira iz branja poti, ki v enem dnevniku zakonito obstaja, kot dokaza o drugem.

Dva dnevnika, dve vprašanji

Dnevnika ostaneta dovolj kratka za ročno vodenje, dokler je laboratorij majhen, in prav takrat sta najbolj koristna. Dva stolpca zadostujeta: kaj je vnos in kako se do njega pride.

Zapišite obe smeri. Predpona, ki je v izhodnem dnevniku in ne v povratnem, ustvari tunel, ki nosi zahteve in spušča odgovore. To napol delujoče stanje je najpogostejši izid v laboratoriju in ga zlahka zamenjamo za problem politike.

Zapišite cilj pred protokolom

Začnite s cilji, ne s protokoli. Za vsak prehod zapišite zunanji naslov in naslednji skok, ki ga doseže. Nato zapišite vsako zasebno predpono, njen lokalni prehod in pot, ki naj bi jo opravila skozi tunel.

Če to storite pred izbiro protokola usmerjanja, ostane razprava poštena. Zasnova pride z zahtevami, ne s preferencami. Razprava o tem, kateri protokol poganjati, postane nato vprašanje, katera zahteva je res težavna.

Statično ali dinamično, odločeno po dnevniku

Statično usmerjanje na transportni strani je v laboratoriju običajno pravilno: dve končni točki, en naslednji skok, ničesar za konvergirati. Zasebna stran je lahko razumno dinamična, ker predpone prihajajo in odhajajo z vajo. Izvajanje enega protokola usmerjanja na transportni strani in drugega na zasebni vas ne obvezuje k prerazporejanju med njima, in obravnavanje vzajemnega prerazporejanja kot predpogoja za IPsec je tam, kjer laboratoriji začnejo dajati rezultate, ki jih nihče ne zna razložiti.

Odločite se o obeh dnevnikih ločeno in zabeležite, kateri je dinamičen. En sam odgovor za obe strani običajno pomeni, da vprašanji nikoli nista bili zares ločeni.

Prerazporejanje je meja politike

Kjer se poti morajo križati, naredite križanje politiko z imenovanimi predponami, smerjo, obdelavo metrike in varovalom zank. Seznami predpon in zemljevidi poti dajo vse štiri, oznake pa ohranijo prerazporejeno pot prepoznavno, potem ko je izgubila prvotni kontekst. Skladnjo berite previdno, ker niso zamenljive: zavrnitev ACL znotraj klavzule ujemanja pomeni, da se pot ne ujema in vrednotenje se nadaljuje, medtem ko zaporedje zavrnitev v zemljevidu poti popolnoma ustavi prerazporejanje poti. Vodnik po zemljevidih poti za prerazporejanje pokriva te klavzule in spremembe atributov, ki jih spremljajo.

Nato primerjajte dobljeno usmerjevalno tabelo z obema dnevnikoma. Laboratorij, ki po širokem prerazporejanju začne posredovati, je pokazal dosegljivost, ne namere. Vsak vnos v tabeli, ki ga ni v nobenem od obeh dnevnikov, pomeni, da je izvoz širši od zasnove, in vsaka poznejša objava podeduje to dvoumnost.

Varnostni primer ohranite enako aktualen kot usmerjanje

Stari vodniki, ki se opirajo na šibke algoritme ali skupno predstavitveno skrivnost, so zgodovinska opažanja. Kopiranje v laboratorij, ki ga nameravate razširiti, je način, kako šibke privzete vrednosti preživijo v proizvodnji. Uporabite politiko, ki jo podpira platforma, in zabeležite različico, ki ste jo preizkusili, ker laboratorij živi dlje od vadnice.

Sprejmite en odobren tok od gostitelja do gostitelja, njegov povratni promet in en cilj, ki mora ostati zunaj obsega zaščite. Shranite vir poti in dogovorjene izbirnike z vsakim rezultatom, da zapis pokaže, kateri sloj je bil dokazan, ne kateri sloj je slučajno deloval.

Ko se kaj zlomi, dnevnik pove, kateri sloj odpreti. Brez dosegljivosti partnerja je transport, brez notranje poti je zasebna pot, in pot, ki obstaja brez ustreznega izbirnika, je politika. Tri povedi, ena diagnoza, brez ugibanja.