Водите два регистра рута у IPsec лабораторији: основни и заштићени

У IPsec лабораторији се преплићу два питања: како пакет стиже до спољашње адресе партнера и како стиже до приватних мрежа иза тог партнера. Они припадају одвојеним регистрима, јер на њих одговарају различити процеси рутирања и они падају са различитим симптомима. Водите регистар основног слоја за спољашње крајње тачке и следеће скокове који до њих воде. Водите регистар горњег слоја за заштићене префиксе, њихове пролазе и предвиђену путању кроз тунел. Већина забуне у лабораторији долази отуда што се рута која законито постоји у једном регистру чита као доказ о другом.

Два регистра, два питања

Регистри остају довољно кратки за ручно вођење док је лабораторија мала, и баш тада су најкориснији. Две колоне су довољне: шта је запис и како се до њега стиже.

Запишите оба смера. Префикс који постоји у излазном регистру, а не у повратном, ствара тунел који носи захтеве и испушта одговоре. То полурадно стање је најчешћи исход у лабораторији и лако се замени са проблемом политике.

Запишите одредиште пре протокола

Почните од одредишта, не од протокола. За сваки пролаз запишите спољашњу адресу и следећи скок који до њега води. Затим запишите сваки приватни префикс, његов локални пролаз и путању којом треба да прође кроз тунел.

Урадити то пре избора протокола рутирања чува дискусију искреном. Пројекат долази са захтевима, а не са склоностима. Расправа о томе који протокол покренути тада постаје питање који је захтев заиста тежак.

Статично или динамично, решава се по регистру

Статичко рутирање на транспортној страни је у лабораторији обично исправно: две крајње тачке, један следећи скок, ништа за конвергенцију. Приватна страна може разумно бити динамична, јер префикси долазе и одлазе са вежбом. Покретање једног протокола рутирања на транспортној страни и другог на приватној не обавезује вас на прерасподелу између њих, и третирање узајамне прерасподеле као предуслова за IPsec је место где лабораторије почињу да дају резултате које нико не може да објасни.

Одлучите о два регистра одвојено и забележите који је динамичан. Један одговор за обе стране обично значи да два питања никада нису била стварно раздвојена.

Прерасподела је граница политике

Тамо где руте морају да се укрсте, учините укрштање политиком са именованим префиксима, смером, обрадом метрике и чуваром петљи. Листе префикса и мапе рута дају сва четири, а ознаке држе прерасподељену руту препознатљивом након што изгуби првобитни контекст. Пажљиво читајте семантику, јер оне нису замењиве: одбијање ACL унутар клаузуле поклапања значи да се рута не поклапа и процена се наставља, док низ одбијања у мапи рута потпуно зауставља прерасподелу руте. Водич за мапе рута при прерасподели покрива те клаузуле и промене атрибута које иду с њима.

Затим упоредите добијену табелу рутирања са оба регистра. Лабораторија која почне да прослеђује након широке прерасподеле показала је достижност, а не намеру. Сваки запис у табели који се не појављује ни у једном од два регистра значи да је извоз шири од пројекта, и свако касније објављивање наслеђује ту двосмисленост.

Држите безбедносни пример актуелним као и рутирање

Стари водичи који се ослањају на слабе алгоритме или заједничку демонстрациону тајну јесу историјска запажања. Њихово копирање у лабораторију коју намеравате да проширите је пут којим слабе подразумеване поставке преживљавају у производњи. Користите политику коју платформа подржава и забележите верзију коју сте тестирали, јер лабораторија живи дуже од упутства.

Прихватите један одобрен ток од домаћина до домаћина, његов повратни саобраћај и једно одредиште које мора да остане изван обима заштите. Сачувајте извор руте и преговаране селекторе са сваким резултатом, тако да запис покаже који је слој доказан, а не који је слој случајно био активан.

Када се нешто поквари, регистар каже који слој отворити. Нема достижности партнера је транспорт, нема унутрашње руте је приватна путања, а рута која постоји без одговарајућег селектора је политика. Три реченице, једна дијагноза, без нагађања.