Statične poti ali usmerjevalni protokol čez VPN med lokacijama?

Obe možnosti prenašata pakete med lokacijami, zato odločitev ni o tem, kateri protokol je novejši, in tudi velikost tunela je ne odloči. Odločijo jo trije pogoji: koliko predpon se spremeni in kako pogosto, ali načrt potrebuje samodejno preklopitev med potmi, in koliko mehanizmov krmilne ravnine lahko ekipa upravlja ob treh zjutraj. Odgovorite na to pošteno in izbira se običajno naredi sama. Preostanek tega besedila je cena vsakega odgovora.

Trije pogoji jo odločijo

Prvi pogoj je spremenljivost. Nekaj stabilnih podomrežij z jasnim lastništvom je mogoče leta vzdrževati ročno in vsaka pot ostane vrstica, ki jo nekdo lahko prebere in preveri. Desetine predpon, ki se premikajo skupaj s prihajanjem in odhajanjem projektov, so druga težava, ker mora vsak premik doseči vsako napravo, ki se še spomni stare poti.

Drugi je vedenje ob okvari. Ko mora rezervna pot postati aktivna, ne da bi človek to opazil, mora nekaj zaznati okvaro in pot umakniti. Statično usmerjanje to zmore le s sledenjem ali pogojno namestitvijo, in le za okvare, ki ste jih vnaprej predvideli.

Tretji je apetit po drugi krmilni ravnini. Usmerjevalni protokol doda seje, overjanje, filtre in politiko izbire, vsak od teh pa potrebuje nadzor in proces sprememb. To so trajni obratovalni stroški, ne enkratna naloga konfiguracije.

Tabela pod tretjim odstavkom je kratka različica, trije razdelki za njo pa pojasnijo, zakaj je vsaka vrstica tam, kjer je. Pred izbiro preberite vrstice proti svojemu številu lokacij, ker je odločitev, ki zanemari obratovalne stroške, le pol odločitve.

Koliko statično usmerjanje v resnici stane

Statična pot mora biti pravilna na obeh straneh tunela. Dodajanje podomrežja pomeni urejanje oddaljenega prehoda, krajevnega prehoda in običajno povratne poti, pozaba katerega od njih pa ustvari enosmerno okvaro, ki je videti kot napaka v aplikaciji. Ekipa za aplikacije vidi časovne omejitve, medtem ko ekipa za omrežje vidi pot, ki obstaja in je navidezno zdrava. Nobena ekipa se ne moti, zato je to okvaro tako težko umestiti.

Statični vnos tudi ostane nameščen, potem ko pot pod njim izgine. Če platforma ne nudi sledenja, pot še naprej kaže na naslednji skok, ki ne posreduje več, in promet izgine namesto da bi se preklopil. Ta tišina je strošek, ki ga sprejmete, ko izberete preprosto možnost.

Zapišite metodo sledenja ob vsako pot, zabeležite, katere okvare pokriva, in seznam hranite ob konfiguraciji tunela. Sicer naslednjo prekinitev odkrije uporabnik in ne omrežje, kar je vedno dražje odkritje.

Koliko dinamično usmerjanje v resnici stane

Protokol oglašuje nove predpone, umika nedosegljive in izraža prednost med potmi. To je res koristno, ko bi več lokacij ali odvečnih tunelov sicer zahtevalo usklajene spremembe ob vsaki spremembi. To je tudi razlog, da vas protokol lahko preseneti v najslabšem trenutku. Vsako od teh dejanj je sprememba stanja, ki je niste naredili sami.

Ustvari dve stanji, ki se lahko razhajata. Tunel je lahko zgoraj, medtem ko je seja usmerjanja spodaj, in seja je lahko zgoraj, medtem ko njene objave izpuščajo podomrežje, ki ga aplikacija potrebuje. Obe sta videti kot omrežje, ki deluje na pol, in nobeno ni vidno s strani stanja tunela.

Filtri in politika zato postanejo del načrta in ne poznejša misel. Protokol, ki oglašuje vse, bo sčasoma oglasil nekaj napačnega, napačna predpona pa potuje hitreje kot oseba, ki jo lahko popravi. Napišite filtre, preden se omogoči prva seja, da bo prva objava že namerna.

Nadzorujte, kaj sme seja usmerjanja povedati

Določite dovoljeni seznam predpon na partnerja in ga uveljavite na vhodu, ker izhodni filter ne more preprečiti partnerju, da vam pošlje privzeto pot. Privzete poti in združitve so tu drage napake: lahko tiho zamenjajo nepovezane poti z enim naučenim vnosom, ki je videti zakonit. Zavrnite jih izrecno, razen če jih načrt resnično želi.

Napišite lastniško lokacijo ob vsako omrežje, preden se dvigne prva seja, ker je to preslikavo vir seznama filtrov in ne okras dokumentacije. Brez nje mora tisti, ki ureja filter, ugibati, katera lokacija bi morala oglaševati predpono.

Preusmerjanje med dvema protokoloma je mesto, kjer se začnejo zanke in kjer ista predpona pride dvakrat z atributi, ki se ne primerjajo čisto. Držite preusmerjanje izven načrta, dokler ga ne zahteva posebna zahteva, in če mora obstajati, označite in filtrirajte poti na meji.

Predorski vmesniki tunela na podlagi poti olajšajo prikaz dinamičnega usmerjanja, ker tunel postane vmesnik s potmi namesto politike, ki ujema selektorje. To ne odpravi vprašanja obsega partnerja: selektorji IPsec morajo še vedno dovoljevati promet, ki ga nameravate usmerjati.

Preizkusite pot okvare, ne srečne poti

Karkoli izberete, spustite eno zgornjo povezavo in potrdite, da se promet premakne ali da spodleti tako, kot ste dokumentirali. Načrt, preizkušen le z obema zdravima potema, je načrt, ki sploh ni bil preizkušen. Izmerite zaznavo, dokler ste tam, ker je izmerjeno število tisto, ki ga bodo uporabniki izkusili.

Nato neodvisno potrdite povratno pot, ker je asimetrično usmerjanje čez VPN običajno in nevidno, dokler naprava s stanjem ne zavrže odgovorov. Tok, ki deluje v eno smer, dokaže le polovico poti.

Vrstni red dela: preštejte predpone, odločite, kako naj se okvare zaznavajo, preverite, kdo lahko upravlja protokol, nadzorujte, kaj se oglašuje, in nato preizkusite eno prekinitev od začetka do konca. Vsak korak da dejstvo, ki ga naslednji potrebuje.