Giữ hai sổ tuyến đường trong một lab IPsec: lớp nền và lớp được bảo vệ

Hai câu hỏi quấn vào nhau trong một lab IPsec: gói tin tới địa chỉ ngoài của peer bằng cách nào, và nó tới các mạng riêng phía sau peer đó bằng cách nào. Chúng thuộc về hai sổ khác nhau, vì các tiến trình định tuyến khác nhau trả lời chúng và chúng hỏng với triệu chứng khác nhau. Giữ sổ lớp nền cho các điểm cuối bên ngoài và chặng kế tiếp tới được chúng. Giữ sổ lớp phủ cho các tiền tố được bảo vệ, cổng của chúng và đường đi dự kiến qua đường hầm. Phần lớn sự lẫn lộn trong lab đến từ việc đọc một tuyến đường tồn tại hợp lệ trong sổ này như bằng chứng về sổ kia.

Hai sổ, hai câu hỏi

Các sổ vẫn đủ ngắn để giữ bằng tay khi lab còn nhỏ, và đó chính là lúc chúng hữu ích nhất. Hai cột là đủ: mục đó là gì, và tới được nó bằng cách nào.

Ghi cả hai chiều. Một tiền tố có trong sổ đi ra mà không có trong sổ quay về tạo ra đường hầm mang yêu cầu và đánh rơi câu trả lời. Trạng thái nửa hoạt động đó là kết quả phổ biến nhất trong lab, và rất dễ bị nhầm với một vấn đề chính sách.

Ghi điểm đến trước giao thức

Bắt đầu từ điểm đến, không phải từ giao thức. Với mỗi cổng, ghi địa chỉ bên ngoài và chặng kế tiếp tới được nó. Sau đó ghi từng tiền tố riêng, cổng cục bộ của nó và đường đi mà nó nên đi qua đường hầm.

Làm điều đó trước khi chọn giao thức định tuyến giữ cho cuộc thảo luận trung thực. Thiết kế đến với yêu cầu, không phải với sở thích. Tranh luận về việc chạy giao thức nào sau đó trở thành câu hỏi yêu cầu nào thực sự khó.

Tĩnh hay động, quyết định theo từng sổ

Định tuyến tĩnh ở phía vận chuyển thường đúng trong một lab: hai điểm cuối, một chặng kế tiếp, không có gì để hội tụ. Phía riêng có thể động một cách hợp lý, vì các tiền tố đến và đi cùng bài tập. Chạy một giao thức định tuyến ở phía vận chuyển và một giao thức khác ở phía riêng không buộc bạn phải phân phối lại giữa chúng, và coi phân phối lại lẫn nhau là điều kiện tiên quyết cho IPsec chính là nơi các lab bắt đầu tạo ra kết quả mà không ai giải thích được.

Quyết định hai sổ riêng rẽ và ghi lại sổ nào là động. Một câu trả lời cho cả hai phía thường có nghĩa là hai câu hỏi chưa bao giờ thực sự được tách ra.

Phân phối lại là ranh giới chính sách

Ở nơi các tuyến phải giao nhau, biến giao điểm thành chính sách với tiền tố được đặt tên, hướng, cách xử lý metric và bảo vệ vòng lặp. Danh sách tiền tố và bản đồ tuyến cho bạn cả bốn, và thẻ giữ cho tuyến đã phân phối lại vẫn nhận diện được sau khi mất ngữ cảnh ban đầu. Đọc ngữ nghĩa cẩn thận, vì chúng không thể thay thế cho nhau: một lệnh từ chối ACL bên trong mệnh đề khớp nghĩa là tuyến không khớp và việc đánh giá tiếp tục, trong khi một chuỗi từ chối trong bản đồ tuyến ngăn tuyến bị phân phối lại hoàn toàn. Hướng dẫn bản đồ tuyến cho phân phối lại bao gồm các mệnh đề đó và những thay đổi thuộc tính đi kèm.

Sau đó so sánh bảng định tuyến thu được với cả hai sổ. Một lab bắt đầu chuyển tiếp sau khi phân phối lại rộng đã chứng minh khả năng tới được, không phải ý định. Bất kỳ mục nào trong bảng không xuất hiện trong cả hai sổ nghĩa là việc xuất ra rộng hơn thiết kế, và mỗi thông báo sau đó thừa hưởng sự mơ hồ đó.

Giữ ví dụ bảo mật cập nhật như định tuyến

Các hướng dẫn cũ dựa trên thuật toán yếu hoặc bí mật trình diễn dùng chung là những quan sát lịch sử. Sao chép chúng vào một lab bạn định mở rộng chính là cách các giá trị mặc định yếu tồn tại trong sản xuất. Dùng chính sách mà nền tảng hỗ trợ và ghi lại phiên bản bạn đã thử, vì lab sống lâu hơn bài hướng dẫn.

Chấp nhận một luồng đã được phê duyệt từ máy chủ tới máy chủ, lưu lượng quay về của nó và một đích phải nằm ngoài phạm vi bảo vệ. Lưu nguồn tuyến và các bộ chọn đã thương lượng với mỗi kết quả, để bản ghi cho thấy lớp nào đã được chứng minh, chứ không phải lớp nào tình cờ hoạt động.

Khi có sự cố, sổ cho biết cần mở lớp nào. Không tới được peer là vận chuyển, không có tuyến bên trong là đường riêng, và một tuyến tồn tại mà không có bộ chọn khớp là chính sách. Ba câu, một chẩn đoán, không phỏng đoán.