Ведіть два журнали маршрутів у лабораторії IPsec: базовий і захищений

У лабораторії IPsec переплітаються два питання: як пакет досягає зовнішньої адреси партнера і як він досягає приватних мереж за цим партнером. Вони належать різним журналам, бо на них відповідають різні процеси маршрутизації і вони відмовляють із різними симптомами. Ведіть журнал базового рівня для зовнішніх кінцевих точок і наступних переходів, що до них ведуть. Ведіть журнал верхнього рівня для захищених префіксів, їхніх шлюзів і передбаченого шляху через тунель. Більшість плутанини в лабораторії виникає, коли маршрут, що законно існує в одному журналі, читають як доказ про інший.

Два журнали, два питання

Журнали залишаються достатньо короткими, щоб їх вести вручну, поки лабораторія мала, і саме тоді вони найкорисніші. Двох стовпців достатньо: що це за запис і як до нього потрапляють.

Записуйте обидва напрямки. Префікс, який є в журналі виходу і відсутній у журналі повернення, створює тунель, що несе запити й губить відповіді. Цей напівробочий стан — найчастіший результат у лабораторії, і його легко сплутати з проблемою політики.

Запишіть призначення раніше за протокол

Почніть із призначень, а не з протоколів. Для кожного шлюзу запишіть зовнішню адресу і наступний перехід, що до нього веде. Потім запишіть кожен приватний префікс, його локальний шлюз і шлях, який він має пройти через тунель.

Зробити це до вибору протоколу маршрутизації — означає зберегти чесність обговорення. Проєкт приходить із вимогами, а не з уподобаннями. Сперечка про те, який протокол запускати, тоді перетворюється на питання, яка вимога справді складна.

Статичний чи динамічний — вирішується за журналом

Статична маршрутизація на транспортному боці в лабораторії зазвичай правильна: дві кінцеві точки, один наступний перехід, нічого збігатися. Приватний бік може цілком розумно бути динамічним, бо префікси приходять і йдуть разом із вправою. Запуск одного протоколу маршрутизації на транспортному боці й іншого на приватному не зобов'язує вас перерозподіляти між ними, і ставлення до взаємного перерозподілу як до передумови IPsec — це місце, де лабораторії починають видавати результати, які ніхто не може пояснити.

Вирішуйте два журнали окремо і позначте, який динамічний. Одна відповідь для обох боків зазвичай означає, що два питання так і не були по-справжньому розділені.

Перерозподіл — це межа політики

Там, де маршрути мають перетинатися, зробіть перетин політикою з іменованими префіксами, напрямком, обробкою метрики і захистом від циклів. Списки префіксів і карти маршрутів дають усі чотири, а теги зберігають перерозподілений маршрут упізнаваним після втрати початкового контексту. Читайте семантику уважно, бо вони не взаємозамінні: заборона ACL усередині умови збігу означає, що маршрут не збігається і оцінювання триває, тоді як послідовність заборони в карті маршрутів повністю зупиняє перерозподіл маршруту. Посібник із карт маршрутів для перерозподілу охоплює ці умови та зміни атрибутів, що з ними пов'язані.

Потім порівняйте отриману таблицю маршрутизації з обома журналами. Лабораторія, яка після широкого перерозподілу починає пересилати, продемонструвала досяжність, а не намір. Будь-який запис у таблиці, якого немає в жодному з журналів, означає, що експорт ширший за проєкт, і кожне подальше оголошення успадковує цю неоднозначність.

Тримайте приклад безпеки таким же актуальним, як маршрутизацію

Старі посібники, що спираються на слабкі алгоритми або спільний демонстраційний секрет, — це історичні спостереження. Копіювати їх у лабораторію, яку ви збираєтеся розширювати, — це шлях, яким слабкі налаштування за замовчуванням виживають у виробництві. Використовуйте політику, яку підтримує платформа, і записуйте перевірену версію, бо лабораторія живе довше за посібник.

Прийміть один схвалений потік від хоста до хоста, його зворотний трафік і одне призначення, яке має залишатися поза межами захисту. Зберігайте джерело маршруту і узгоджені селектори з кожним результатом, щоб запис показував, який рівень доведено, а не який рівень випадково працював.

Коли щось ламається, журнал каже, який рівень відкривати. Немає досяжності партнера — це транспорт, немає внутрішнього маршруту — це приватний шлях, а маршрут, що існує без відповідного селектора, — це політика. Три речення, один діагноз, жодних здогадів.