Mbani dy regjistra rrugësh në një laborator IPsec: bazë dhe i mbrojtur

Dy pyetje ngatërrohen në një laborator IPsec: si arrin një paketë në adresën e jashtme të palës dhe si arrin në rrjetet private pas asaj pale. Ato i përkasin regjistrave të veçantë, sepse procese të ndryshme rrugëtimi u përgjigjen dhe ato dështojnë me simptoma të ndryshme. Mbani regjistrin e shtresës bazë për pikat e jashtme fundore dhe kërcimet e radhës që arrijnë atje. Mbani regjistrin e shtresës së sipërme për prefikset e mbrojtura, portat e tyre dhe rrugën e synuar përmes tunelit. Pjesa më e madhe e konfuzionit në laborator vjen nga leximi i një rruge që ekziston ligjërisht në një regjistër si provë për tjetrin.

Dy regjistra, dy pyetje

Regjistrat mbeten mjaft të shkurtër për t'u mbajtur me dorë sa kohë laboratori është i vogël, dhe pikërisht atëherë janë më të dobishëm. Dy kolona mjaftojnë: çfarë është hyrja dhe si arrihet në të.

Shkruani të dy drejtimet. Një prefiks që shfaqet në regjistrin dalës dhe jo në atë të kthimit prodhon një tunel që mban kërkesat dhe i hedh përgjigjet. Kjo gjendje gjysmë-funksionale është rezultati më i zakonshëm në laborator, dhe ngatërrohet lehtë me një problem politike.

Shkruani destinacionin para protokollit

Filloni me destinacionet, jo me protokollet. Për çdo portë, shënoni adresën e jashtme dhe kërcimin e radhës që arrin atje. Pastaj shënoni çdo prefiks privat, portën e tij lokale dhe rrugën që duhet të ndjekë përmes tunelit.

Ta bësh këtë para se të zgjedhësh një protokoll rrugëtimi e mban diskutimin të ndershëm. Dizajni vjen me kërkesa, jo me preferenca. Debati se cili protokoll duhet ekzekutuar bëhet atëherë një pyetje se cila kërkesë është vërtet e vështirë.

Statik apo dinamik, vendoset për çdo regjistër

Rrugëtimi statik në anën e transportit është zakonisht i saktë në një laborator: dy pika fundore, një kërcim i radhës, asgjë për t'u konverguar. Ana private mund të jetë në mënyrë të arsyeshme dinamike, sepse prefikset vijnë dhe shkojnë me ushtrimin. Të ekzekutosh një protokoll rrugëtimi në anën e transportit dhe një tjetër në anën private nuk të detyron të rishpërndash mes tyre, dhe trajtimi i rishpërndarjes së ndërsjellë si parakusht për IPsec është vendi ku laboratorët fillojnë të prodhojnë rezultate që askush nuk mund t'i shpjegojë.

Vendosni për dy regjistrat veçmas dhe shënoni cili është dinamik. Një përgjigje e vetme për të dyja anët zakonisht do të thotë që dy pyetjet nuk u ndanë kurrë vërtet.

Rishpërndarja është kufi politike

Kur rrugët duhet të kryqëzohen, bëjeni kryqëzimin politikë me prefikse të emërtuar, drejtim, trajtim metrike dhe roje cikli. Listat e prefikseve dhe hartat e rrugëve ju japin të katërtat, dhe etiketat e mbajnë një rrugë të rishpërndarë të identifikueshme pasi ka humbur kontekstin origjinal. Lexojeni semantikën me kujdes, sepse nuk janë të këmbyeshme: një mohim ACL brenda klauzolës së përputhjes do të thotë që rruga nuk përputhet dhe vlerësimi vazhdon, ndërsa një sekuencë mohimi në një hartë rrugësh e ndalon plotësisht rishpërndarjen e rrugës. Udhëzuesi i hartave të rrugëve për rishpërndarje mbulon ato klauzola dhe ndryshimet e atributeve që i shoqërojnë.

Pastaj krahasoni tabelën e rrugëtimit që rezulton me të dy regjistrat. Një laborator që fillon të përcjellë pas rishpërndarjes së gjerë ka demonstruar arritshmëri, jo qëllim. Çdo hyrje në tabelë që nuk shfaqet në asnjërin prej regjistrave do të thotë që eksporti është më i gjerë se dizajni, dhe çdo njoftim i mëvonshëm trashëgon atë paqartësi.

Mbani shembullin e sigurisë po aq aktual sa rrugëtimin

Udhëzuesit e vjetër që mbështeten në algoritme të dobëta ose në një sekret demostrimi të përbashkët janë vëzhgime historike. Kopjimi i tyre në një laborator që synoni ta zgjeroni është mënyra se si vlerat e parazgjedhura të dobëta mbijetojnë në prodhim. Përdorni politikën e mbështetur nga platforma dhe shënoni versionin që testuat, sepse laboratori jeton më gjatë se udhëzuesi.

Pranoni një rrjedhë të miratuar nga hosti në host, trafikun e saj të kthimit dhe një destinacion që duhet të mbetet jashtë fushës së mbrojtjes. Ruani burimin e rrugës dhe përzgjedhësit e negociuar me çdo rezultat, që regjistri të tregojë cila shtresë u vërtetua, jo cila shtresë ishte aktive rastësisht.

Kur diçka prishet, regjistri ju thotë cilën shtresë të hapni. Mungesa e arritshmërisë te pala është transport, mungesa e rrugës së brendshme është rrugë private, dhe një rrugë që ekziston pa një përzgjedhës përputhës është politikë. Tri fjali, një diagnozë, pa hamendje.