Skriv paketvägen innan du konfigurerar VPN:en

De flesta VPN-uppsättningar börjar med en klient och en profil, och när tunneln är uppe kan ingen säga vilket paket som skulle ha passerat den. Den första sidan arbete är billigare än den tredje timmen felsökning: beskriv en avsedd anslutning från ände till ände, på papper, innan en konfigurationsfil finns. Övningen avgör oftast en fråga som du ännu inte hade ställt, till exempel om kravet är en internetutgång, fjärråtkomst till ett subnät eller en länk mellan två platser.

En anslutning räcker för att börja. Tre sidor topologi döljer oftast samma saknade svar.

Beskriv en begäran, inte ett diagram

Börja med avsändaren: ett adressområde, en adressfamilj och applikationen som skapar trafiken. Namnge sedan målprefixet och tjänsten på det, ända ner till port och protokoll, eftersom en regel som tillåter subnätet men inte tjänsten är en regel som inte gör något. De två adresserna är hela poängen, och allt nedanför är maskineriet som måste stämma med dem.

Lista vägen i ordning: den fysiska länken, VPN-slutpunkten i varje ände, själva tunneln och nätverket bortom den. Skriv gränssnittsnamnen om du känner dem, eftersom den detaljen är det som gör en beskrivning till något du senare kan jämföra med en routingtabell. Lägg till adressen som varje gränssnitt använder på tunnelsidan. Utan de två fakta kan ingen annan kontrollera protokollet mot enheten.

Namnge nu den enda avsedda anslutningen i en enda mening högst upp på sidan. Om den meningen behöver ordet eller, har du två konstruktioner och bör behandla dem var för sig.

Följ svaret före begäran

En väg som bara beskriver den utgående riktningen är ett halvt dokument. Följ svaret tillbaka och identifiera vilken enhet som känner till avsändarens område, om en översättning ändrar källan på vägen ut och var returpaketet förväntas komma in. Det är i svaret som de flesta uppsättningar misslyckas, eftersom begäran är lätt att observera och svaret inte.

Notera varje adressöversättning uttryckligen, inklusive var den sker och vad den andra änden sedan ser. En peer som loggar en adress och dirigerar till en annan beskriver två olika konstruktioner.

Behandla namnsuppslagning som ett eget utbyte och inte som en del av applikationens väg. En intern post kan behöva en resolver som bara nås genom tunneln, och ett vägprotokoll som stannar vid applikationens prefix kommer inte att avslöja det. Samma sak gäller alla certifikatvalideringar som beror på att nå en intern myndighet.

Ge varje beslut en ägare

För varje rutt, brandväggsregel, väljare och autentiseringsuppgift ska du skriva ner vilken konfiguration som innehåller den och vilken person som får ändra den. En ägare per rad är det som gör att dokumentet överlever den första ändringsbegäran, eftersom alternativet är ett dokument som beskriver avsikten och ett nätverk som beskriver historiken.

Se upp för två ägare av ett standardvärde. Ett klientskript och en nätverkshanterare kan båda installera rutter utan att den ena vet om den andra, och ett lyssnartillstånd på gatewayen är inte samma tillstånd som vidarebefordran. Båda fallen ger ett vägprotokoll som är korrekt på papperet och fel på kabeln.

När ett värde bestäms av en leverantör och inte av dig, säg det på samma rad. Ett prefix som delegeras av ett webbhotell har en annan ändringsprocess än ett som du valde själv. Den anteckningen sparar en supportbiljett åt nästa ingenjör under en incident. Den förklarar också varför en ändring som du godkände inte hade någon effekt.

Beskriv vad som går sönder och hur du återhämtar dig

För varje steg på vägen, ange vad som stoppar när tunneln försvinner och vilken utgående anslutning som måste förbli nåbar så att du kan reparera den. En konstruktion som förlorar sin åtkomst för administration tillsammans med tunneln är en konstruktion som kräver ett besök på plats.

Full tunnel och delad tunnel hör hemma på den här sidan som ett uttryckligt val och inte som en kryssruta, eftersom de ändrar både felläget och återhämtningsvägen.

Namnge ett ofarligt test för varje steg

Slutpunktens nåbarhet, tunnelns upprättande, den privata adressen, det privata namnet och applikationstillståndet är fem olika observationer, och var och en behöver ett test som inte kan förväxlas med ett annat. Ett ping till gatewayen bevisar som mest de två första. En anslutning till applikationens port bevisar den fjärde och femte bara om namnet löstes genom den avsedda resolvern.

Skriv testet bredvid steget det täcker, inklusive kommandot och den förväntade utskriften. En sida med exakta vägar slår en sida med kommandon som aldrig säger vilka paket de var avsedda att påverka.