Politika Tabanlı Yönlendirme Güvenlik Cihazlarında Hangi Sorunları Çıkarır?

Politika tabanlı yönlendirme gerçek bir ihtiyacı karşılar. Belirli bir bölümün trafiğini farklı bir hattan çıkarmak, misafir trafiğini ayrı bir sağlayıcıya yönlendirmek ya da belirli bir uygulamayı düşük gecikmeli bir yoldan geçirmek.

Normal yönlendirme yalnız hedefe bakar. Politika, kaynağa ve diğer alanlara da bakarak kararı değiştirir.

Bu esneklik, durum tutan bir cihazın bulunduğu yolda bedel üretir.

Birinci Sorun: Simetri Bozulur

En yaygın hata, gidiş için kural yazıp dönüşü unutmaktır.

Trafik politika gereği ikinci hattan çıkar. Karşı taraf cevabı, kaynak adrese bakarak normal rotadan gönderir. Gidiş ve dönüş farklı yollardan geçer.

Bu yollardan biri üzerinde bir güvenlik duvarı varsa, o cihaz bağlantının yalnız bir yönünü görür ve asimetrik yönlendirme sorunu ortaya çıkar.

Belirti kısmi arızadır. Ping çalışır, TCP oturumu kurulmaz. Bazı bağlantılar tamamlanır, bazıları takılır.

İkinci Sorun: Görünürlük Kaybolur

Bir mühendis “bu trafik nereden çıkıyor” sorusunu sorduğunda ilk baktığı yer rota tablosudur.

Politika kuralları o tabloda görünmez. Ayrı bir yerde tanımlıdır ve çoğu zaman ağ şemasında da yazmaz.

Sonuç, sorun gidermenin uzamasıdır. Rota tablosu doğru görünür, trafik başka yerden gider ve neden gittiği ancak politika yapılandırması okunduğunda anlaşılır.

Bu, yıllar sonra devralan bir ekip için özellikle maliyetlidir.

Üçüncü Sorun: Diğer İşlevlerle Etkileşim

NAT ile. Adres çevirisi kuralları genellikle çıkış arayüzüne bağlıdır. Trafik politika gereği başka bir arayüzden çıktığında beklenen çeviri uygulanmayabilir; kaynak adres yanlış blokta kalır ve dönüş yolu bulunamaz.

Değerlendirme sırasının nasıl işlediği ürüne göre değişir ve politika ile çeviri sıralaması ayrı bir başlıktır.

VPN ile. Tünele girmesi gereken trafik, politika kuralı önce eşleştiği için tünele hiç girmez. Belirti, tünelin kurulu görünüp trafiğin akmamasıdır.

ECMP ile. İki mekanizma aynı kararı farklı gerekçelerle değiştirir ve etkileşimleri öngörülmesi zor bir dağılım üretir.

Ne Yapılmalı

Dönüşü de yazın. Gidiş için tanımlanan her politika kuralının dönüş karşılığı düşünülmelidir. Kaynak tabanlı yönlendirme, gelen trafiğin hangi hattan girdiyse oradan çıkmasını sağlar.

Belgeleyin. Politika kuralları ağ şemasında ve yapılandırma belgesinde görünür olmalıdır. Yalnız cihaz üzerinde duran bir kural, ilk devir tesliminde kaybolur.

Kapsamı dar tutun. Kural ne kadar dar tanımlanırsa, yan etkisi o kadar sınırlı olur.

Kalıcıysa alternatifi değerlendirin. İhtiyaç sürekliyse, politika kuralı yerine ayrı bir yönlendirme örneği kullanmak daha temiz bir yapı verir. Trafik kendi tablosunda yönlendirilir ve simetri doğal olarak korunur.

Ne Zaman Kabul Edilebilir

Politika tabanlı yönlendirme kötü bir araç değildir; yan etkileri belgelenmeden kullanıldığında sorun çıkarır.

Geçici bir ihtiyaç için, dar bir kapsamda ve dönüş yolu da tanımlanarak kullanıldığında sorun üretmez. Kalıcı hale geldiğinde ise mimarinin bir parçası olarak yeniden değerlendirilmelidir.