Bir IPsec laboratuvarında iki rota defteri tutun: alt katman ve korunan
İki defter: biri eşe ulaşır, diğeri özel önekleri taşır. İkisini de izleyin ve yeniden dağıtımı kısa yol değil, politika kararı olarak görün.
Bir IPsec laboratuvarında iki soru birbirine dolanır: bir paketin eşin dış adresine nasıl ulaştığı ve o eşin arkasındaki özel ağlara nasıl ulaştığı. Farklı yönlendirme süreçleri yanıtladığı ve farklı belirtilerle başarısız oldukları için ayrı defterlere aittirler. Alt katman defterini dış uç noktalar ve onlara ulaşan sonraki atlamalar için tutun. Üst katman defterini korunan önekler, bunların ağ geçitleri ve tünelden geçen amaçlanan yol için tutun. Laboratuvardaki karışıklığın çoğu, bir defterde meşru olarak bulunan bir rotanın diğeri hakkında kanıt olarak okunmasından gelir.
İki defter, iki soru
Defterler laboratuvar küçükken elle tutulabilecek kadar kısa kalır ve tam o zaman en yararlıdırlar. İki sütun yeterlidir: kaydın ne olduğu ve ona nasıl ulaşıldığı.
| Ledger | What it lists |
|---|---|
| Underlay | Each gateway's external address and the next hop that reaches it |
| Protected | Each private prefix, its local gateway and its intended path through the tunnel |
Her iki yönü de yazın. Giden defterde olup dönen defterde olmayan bir önek, istekleri taşıyıp yanıtları düşüren bir tünel üretir. Bu yarı çalışan durum laboratuvarda en sık görülen sonuçtur ve bir politika sorunuyla karıştırılması kolaydır.
Hedefi protokolden önce yazın
Protokollerle değil, hedeflerle başlayın. Her ağ geçidi için dış adresi ve ona ulaşan sonraki atlamayı kaydedin. Ardından her özel öneki, yerel ağ geçidini ve tünelden geçmesi gereken yolu kaydedin.
Bunu bir yönlendirme protokolü seçmeden önce yapmak tartışmayı dürüst tutar. Tasarım tercihlerle değil, gereksinimlerle gelir. Hangi protokolün çalıştırılacağı tartışması o zaman hangi gereksinimin gerçekten zor olduğu sorusuna dönüşür.
Statik mi dinamik mi, defter başına karar
Taşıma tarafında statik yönlendirme bir laboratuvarda genellikle doğrudur: iki uç nokta, bir sonraki atlama, yakınsayacak bir şey yok. Özel taraf makul biçimde dinamik olabilir, çünkü önekler alıştırmayla gelir ve gider. Taşıma tarafında bir yönlendirme protokolü ve özel tarafta başka bir protokol çalıştırmak sizi ikisi arasında yeniden dağıtım yapmaya zorlamaz ve karşılıklı yeniden dağıtımı IPsec için ön koşul saymak, laboratuvarların kimsenin açıklayamadığı sonuçlar üretmeye başladığı yerdir.
İki deftere ayrı ayrı karar verin ve hangisinin dinamik olduğunu not edin. Her iki taraf için tek bir yanıt genellikle iki sorunun hiçbir zaman gerçekten ayrılmadığı anlamına gelir.
Yeniden dağıtım bir politika sınırıdır
Rotaların kesişmesi gereken yerde, kesişimi adlandırılmış önekler, yön, metrik işleme ve döngü koruması olan bir politikaya dönüştürün. Önek listeleri ve rota haritaları dördünü de verir ve etiketler yeniden dağıtılan rotayı özgün bağlamını yitirdikten sonra da tanınabilir tutar. Anlambilimi dikkatle okuyun, çünkü birbirlerinin yerine geçmezler: eşleşme yan tümcesi içindeki bir ACL reddi, rotanın eşleşmediği ve değerlendirmenin sürdüğü anlamına gelir; rota haritasındaki bir ret dizisi ise rotanın yeniden dağıtılmasını tamamen durdurur. Yeniden dağıtım için rota haritaları kılavuzu bu yan tümceleri ve onlarla gelen öznitelik değişikliklerini kapsar.
Ardından ortaya çıkan yönlendirme tablosunu iki defterle karşılaştırın. Geniş yeniden dağıtımdan sonra iletmeye başlayan bir laboratuvar, niyeti değil erişilebilirliği göstermiştir. İki defterin hiçbirinde görünmeyen her tablo kaydı, dışa aktarımın tasarımdan daha geniş olduğu anlamına gelir ve sonraki her duyuru bu belirsizliği devralır.
Güvenlik örneğini yönlendirme kadar güncel tutun
Zayıf algoritmalara veya paylaşılan bir gösterim sırrına dayanan eski kılavuzlar tarihsel gözlemlerdir. Bunları genişletmeyi düşündüğünüz bir laboratuvara kopyalamak, zayıf varsayılanların üretimde nasıl hayatta kaldığının yoludur. Platformun desteklediği politikayı kullanın ve test ettiğiniz sürümü not edin, çünkü laboratuvar eğitimden daha uzun yaşar.
Onaylanmış bir ana bilgisayardan ana bilgisayara akışı, dönüş trafiğini ve koruma kapsamının dışında kalması gereken bir hedefi kabul edin. Rota kaynağını ve görüşülen seçicileri her sonuçla birlikte saklayın, böylece kayıt hangi katmanın kanıtlandığını göstersin, hangi katmanın tesadüfen çalıştığını değil.
Bir şey bozulduğunda defter hangi katmanın açılacağını söyler. Eşe erişilememesi taşımadır, iç rota olmaması özel yoldur ve eşleşen seçici olmadan var olan bir rota politikadır. Üç cümle, bir teşhis, tahmin yok.