Dva dejavna tunela IPsec še vedno potrebujeta načrt povratne poti

Odprite terminal na delovni postaji na enem mestu in se povežite s strežnikom na drugem. Ta edini pogovor TCP mora zdaj prečkati štiri prehode namesto dveh, in zanimivi del ni, ali deluje na dober dan. Zanimivi del je, kateri par prehodov je izbrala smer naprej, kateri par izbere odgovor in kdo drži stanje toka, medtem ko se to dogaja. Nič v usmerjevalni tabeli tega ne odloči za vas.

Narišite štiri prehode, preden narišete pot

Dvojno dejavna zasnova z dvema neodvisnima požarnima zidovoma VPN na lokacijo, en par na ponudnika, vam da dve uporabni poti in tri načine, kako ju zlomiti. Zapišite naslove, preden karkoli nastavite: odjemalca, kot se vidi pred vsakim prehodom in za njim, strežnik prav tako, naslednji skok naprej in naslednji skok nazaj.

Ta tabela je načrt. Vse za njo je vprašanje, ali se naprave strinjajo s tabelo.

Kako se izbere pot naprej

Plast večpotnega usmerjanja z enakimi stroški razporeja tokove po naslednjih skokih z razprševanjem polj glave, kar RFC 2992 podrobno opisuje. Ta izbira je lahko popolnoma brezstanjska: ne potrebuje vnosa za sledenje povezav, le stabilno razpršilo čez nespremenjena polja. Vzdržujte nabor poti in vhode razpršila nespremenjene in vsak paket toka izbere isti naslednji skok.

Izbira po toku se izogne preurejanju, ki bi ga povzročilo izravnavanje paket za paketom na povezavah z različnimi zakasnitvami. Ne obljublja, da enaki stroški usmerjanja pomenijo enako izmerjeno zakasnitev, ker je ne. In ko se sestava poti spremeni, se tokovi preslikajo znova, zato je preživetje povezave med okvaro ločena zahteva od izbire poti.

Kaj pravzaprav potrebuje povratna pot

Tu sprehod preneha biti simetričen. Stabilno razpršilo naprej vam ne pove ničesar o tem, kaj bo oddaljena lokacija storila z odgovorom. Če mora neodvisni požarni zid videti obe smeri povezave, da ohrani koristno stanje, povratna pot, ki ga obide, pusti promet, ki se ne ujema z ničimer. Dve škatli s podobnimi nabori pravil nista skupno stanje.

Potrdite izvedeno dvosmerno vedenje ali napišite izrecno politiko, ki ohranja zahtevane meje skladne. Domneva se tu razkrije med izpadom, pri ljudeh, ki v tem ne uživajo.

Kjer prevajanje odloči za vas

NAT je druga ročica in je izbiren, ne obvezen. Prevedene identitete, specifične za pot, lahko usmerijo odgovore nazaj k prehodu, ki drži stanje, kar je legitimna zasnova. Dodajo pa preslikave, povratne poti in lastnika tega stanja, zato breme sprejmite le zaradi zahteve, ki jo lahko izgovorite na glas.

Če je zahteva preprosto ta, da obe poti nosita promet in da katera koli preživi izgubo ponudnika, je običajno manjša zasnova preprosta večpotna pot po toku s skladnim povratnim usmerjanjem.

Prehodite prevzem po vrsti

Preizkusite v tem zaporedju in v vsakem koraku zapišite naslove: nova povezava na poti A in njena odgovorna pot, isto na poti B, nato izguba enega ponudnika, nato obnovitev. Pri vsakem rezultatu zabeležite, kateri vzpostavljeni tokovi so se premaknili, kateri so se morali znova povezati in kam so nove poti pozneje šle. Najprej zapišite pričakovano vrednost, nato jo primerjajte z zajemom. Dva vzpostavljena tunela ne dokažeta nič od tega.

Zasnova je končana, ko se tabela, ki ste jo napisali, ujema s tem, kar kaže zajem, ne ko sta oba tunela pokonci.