Prieš pradedant
Išvardyk adresus, prievadus ir protokolus. Patvirtink abiejų galų atsakomybę bei teises į prefiksus. Išsaugok veikiančias taisykles, palaikyk atskirą administravimo kelią ir su operatoriumi suplanuok atkūrimą prieš keisdamas produkcinius maršrutus.
Proxy turi atitikti protokolą
HTTP reverse proxy apdoroja sukonfigūruotą HTTP, ne automatiškai žaidimo UDP. NGINX stream gali persiųsti TCP arba UDP su tinkamu moduliu ir nustatymais, bet tai nėra HTTP programos filtras. Patikrink adresus, prievadus ir laukimo ribas. Testuok tikrą klientą bei failus atskirai; vienas puslapis nepatvirtina visos paslaugos.
GRE inkapsuliuoja paketus
GRE virš IPv4 naudoja IP protokolą 47, ne TCP prievadą 47. Pats jis neužtikrina šifravimo ar kitos pusės autentifikavimo. Patvirtink leidžiamus galinius taškus ir filtrus abiejuose galuose. Veikiantis tunelis neįrodo žaidimo srauto persiuntimo; tikrink realią paslaugą ir klientui grįžtančius atsakymus, ne vien skydelio tunelio būseną.
Patikrink šaltinius ir grįžimo kelią
Pradinių kliento adresų išlaikymas reikalauja tinkamo atsakymų maršruto. NAT gali pakeisti serverio matomą šaltinį ir grįžtamąjį persiuntimą. Aprašyk abi kryptis bei asimetrinį maršrutizavimą. Paketai gali pasiekti origin, tačiau ryšys nepavyksta, nes atsakymas išeina per netinkamą sąsają arba kito kelio filtrai neatitinka numatytos konfigūracijos.
BGP reikia patvirtintų teisių
BGP keičiasi maršrutų informacija tarp tinklų; jis pats nėra žaidimo paketų filtras. Skelbk tik sutarties ir įgaliojimo leidžiamus prefiksus. VPS adresas automatiškai nesuteikia teisės skelbti viso tinklo. Suderink kilmę, politiką, skelbimą ir grįžimą su produkcinį tinklą prižiūrinčiais operatoriais prieš keisdamas viešai naudojamus maršrutus.
Testuok MTU tikrais paketais
Inkapsuliavimas užima papildomą vietą. Netinkamas MTU gali sugadinti didelius perdavimus, nors mažas ping veikia. Tikrink path MTU, būtinus valdymo pranešimus ir galimą fragmentavimą. Naudok leidžiamą failų bei žaidimo srautą, panašų į įprastą naudojimą. Keisk vieną nustatymą, kad rastum pataisą, kuri iš tiesų pašalina sutrikimą.
Patvirtink palaipsniui
Tikrink TCP, UDP, failus, administravimą ir atsakymus iš nepriklausomų tinklų. Palygink RTT bei paketų praradimą esant panašiai apkrovai. Pirmiausia perkelk ribotą paslaugą ir užrašyk grįžimo sąlygas. Žalia tunelio būsena ar pasiekiamas puslapis neįrodo viso žaidimo, priklausomybių ir tikrų klientų ryšių veikimo visomis numatytomis kryptimis.
Ką daryti tavo situacijoje?
| Situacija | Kitas veiksmas |
|---|---|
| Tarpininko reikia tik HTTP | Apribok origin ir testuok HTTP proxy neįsivaizduodamas UDP apsaugos. |
| UDP reikia saugomo kelio | Ištirk transporto proxy ar tunelį su patikrintu grįžimo keliu ir MTU. |
| Perkeliamas tavo įgaliotas prefiksas | Su atsakingu operatoriumi planuok BGP politiką ir atkūrimą. |
Oficialūs šaltiniai
Šaltiniuose aprašomi protokolai ir nustatymai. Patikrink naudojamos versijos dokumentaciją.