Запишіть шлях пакета до налаштування VPN

Більшість збірок VPN починається з клієнта й профілю, і на момент, коли тунель піднято, ніхто вже не може сказати, який пакет мав через нього пройти. Перша сторінка роботи дешевша за третю годину налагодження: опишіть одне передбачене з’єднання від початку до кінця, на папері, до того як з’явиться файл конфігурації. Вправа зазвичай закриває питання, яке ви ще не поставили, наприклад: вимога — це вихід в інтернет, віддалений доступ до підмережі чи канал між двома майданчиками.

Одного з’єднання достатньо для початку. Три сторінки топології зазвичай приховують ту саму відсутню відповідь.

Опишіть один запит, а не схему

Почніть із відправника: діапазон адрес, родина адрес і застосунок, що породжує трафік. Далі назвіть префікс призначення та службу на ньому, аж до порту й протоколу, бо правило, яке дозволяє підмережу, але не службу, — це правило, яке нічого не робить. Дві адреси — це вся суть, а все нижче — механізми, які мають із ними узгоджуватися.

Перелічіть шлях по порядку: фізичний канал, кінцева точка VPN на кожному боці, сам тунель і мережа за ним. Запишіть імена інтерфейсів, якщо знаєте їх, бо саме ця деталь перетворює опис на щось, що пізніше можна звірити з таблицею маршрутизації. Додайте адресу, яку кожен інтерфейс використовує з боку тунелю. Без цих двох фактів ніхто інший не зможе перевірити запис щодо пристрою.

Тепер назвіть єдине передбачене з’єднання однією фразою у верхній частині сторінки. Якщо цій фразі потрібне слово або, у вас два проєкти, і їх слід розглядати окремо.

Стежте за відповіддю раніше запиту

Шлях, що описує лише вихідний напрямок, — це половина документа. Прослідкуйте відповідь назад і визначте, який пристрій знає діапазон відправника, чи змінює трансляція джерело на виході та де очікується вхід зворотного пакета. Саме на відповіді ламається більшість збірок, бо запит легко спостерігати, а відповідь — ні.

Явно позначте будь-яку трансляцію адрес, зокрема де вона відбувається і що потім бачить дальній бік. Партнер, який журналює одну адресу, а маршрутизує на іншу, описує два різні проєкти.

Розглядайте розв’язання імен як окремий обмін, а не як частину маршруту застосунку. Внутрішньому запису може знадобитися резолвер, доступний лише через тунель, і запис шляху, що зупиняється на префіксі застосунку, цього не покаже. Те саме стосується будь-якої перевірки сертифіката, яка залежить від досягнення внутрішнього центру сертифікації.

У кожного рішення має бути власник

Для кожного маршруту, правила брандмауера, селектора й облікових даних запишіть, яка конфігурація їх зберігає і яка людина може їх змінити. Власник у кожному рядку — це те, що дозволяє документу пережити перший запит на зміну, бо альтернатива — документ, що описує намір, і мережа, що описує історію.

Стережіться двох власників одного значення за замовчуванням. Клієнтський скрипт і мережевий менеджер можуть обидва встановлювати маршрути, не знаючи один про одного, а дозвіл на прослуховування на шлюзі — не той самий дозвіл, що й пересилання. Обидва випадки дають запис шляху, правильний на папері й хибний на кабелі.

Там, де значення визначає провайдер, а не ви, скажіть це в тому самому рядку. У префікса, делегованого хостинговою компанією, інший процес зміни, ніж у вибраного вами самими. Ця нотатка економить наступному інженеру звернення до підтримки під час інциденту. Вона також пояснює, чому схвалена вами зміна не дала ефекту.

Опишіть, що ламається і як ви відновлюєтеся

Для кожного етапу шляху вкажіть, що зупиняється, коли тунель зникає, і яке вихідне з’єднання має лишатися доступним, щоб ви могли це полагодити. Проєкт, який втрачає доступ керування разом із тунелем, — це проєкт, що потребує виїзду на місце.

Повний тунель і розділений тунель належать до цієї сторінки як явний вибір, а не як прапорець, бо вони змінюють і режим відмови, і шлях відновлення.

Назвіть нешкідливу перевірку для кожного етапу

Досяжність кінцевої точки, встановлення тунелю, приватна адреса, приватне ім’я й дозвіл застосунку — це п’ять різних спостережень, і кожному потрібна перевірка, яку не можна сплутати з іншою. Пінг до шлюзу доводить у найкращому разі перші два. Підключення до порту застосунку доводить четверте й п’яте, лише якщо ім’я розв’язалося через передбачений резолвер.

Запишіть перевірку поруч з етапом, який вона покриває, включно з командою й очікуваним виводом. Сторінка точних шляхів краща за сторінку команд, яка ніколи не каже, на які пакети вони мали впливати.