Адзін /23 замест двух /24: што змяняецца ў перамовах

Два суседнія /24 акуратна згортваюцца ў адзін /23, і гэтая акуратная арыфметыка пераконвае людзей, што змена чыста касметычная. Гэта арыфметыка пра адрасы, а тунэлю важныя селектары — гэта прапанова для перамоваў, а не апісанне сеткі. Кароткі радок можа пакінуць той жа трафік абароненым, абараніць больш, чым планавалася, або не пакрыць палову яго — у залежнасці ад таго, што гатовыя прыняць два бакі. Чытанне ўсталяванага выніку — адзіны спосаб даведацца, які з гэтых трох выпадкаў адбыўся.

Тры факты, якія людзі зліваюць у адзін

Набор адрасоў кажа, якія хасты павінны быць абароненыя. Групаванне кажа, як гэтыя адрасы прапануюцца: адзін селектар ці некалькі, у адной асацыяцыі ці больш. Узгоднены вынік кажа, што два бакі фактычна ўсталявалі, і ён можа быць вузейшы за любы з першых двух.

Запішыце іх асобна ў запісе пра змену. Адзін радок канфігурацыі часта хавае тры розныя адказы. Рэцэнзент, які не можа іх падзяліць, таксама не можа ўхваліць змену.

Што адказвальнік можа зрабіць з вашай зводкай

Адказвальнік IKEv2 можа звузіць прапанаваную пару селектараў да падмноства, якое ён гатовы прыняць, і можа цалкам адхіліць прапанову, калі нічога прымальнага не існуе. Ён таксама можа паказаць, што дадатковаму трафіку патрэбна іншая асацыяцыя, а не змяшчэнне ў гэтую.

Адказвальнік, які нічога не прымае, вяртае памылку, і гэта прынамсі кажа, што прапанова была адхілена, а не ціха звужана.

Гэта значыць, што паспяховы абмен даказвае, што бакі дамовіліся пра нешта, а не пра ўсё, што вы пералічылі. Першае паведамленне пра поспех — гэта адпраўная кропка для чытання выніку, а не выснова. Прынятае падмноства можа быць меншым за адзін /24, і тады ўсталяваны набор выглядае зусім не як прапанова.

Дзе зводка ціха сцірае мяжу

Два /24 могуць мець розныя правілы абслугоўвання: адзін можа дазваляць толькі пратакол кіравання, другі — агульную праграму. Селектар, які ахоплівае абодва адрасы на ўзроўні IP, не захоўвае гэтыя правілы, і зводка пераносіць мяжу ў любое фільтраванне, што існуе за тунэлем. Пералічыце правілы абслугоўвання для кожнай падсеткі перад агрэгацыяй, інакш гэтае параўнанне ніколі не адбудзецца.

Значэнні пратакола і порта — частка селектара, а не дадатковая опцыя. Калі зыходная палітыка іх абмяжоўвала, агрэгат павінен несці тое ж абмежаванне, інакш змена — гэта змена дазволаў у касцюме маршрутызацыі. Калі абмежаванне было сэнсам зыходнай палітыкі, трымайце яго відавочным пасля зводкі і скажыце пра гэта ў запісе.

Чытанне выніку па кожным прэфіксе

Пасля змены глядзіце на тое, што ўсталявана, а не на тое, што наладжана. Затым згенеруйце паток з кожнага прэфікса ў кожным кірунку і праверце лічыльнікі, якія належаць асацыяцыі, што яго апрацоўвае. Два прэфіксы, якія даюць трафік на адной асацыяцыі, — гэта добра; два прэфіксы, дзе адзін не дае нічога, — гэта знаходка.

Рабіце гэта тым жа праграмным забеспячэннем, якое выкарыстоўваюць карыстальнікі. Зонд, які пачынаецца на шлюзе, правярае іншы шлях, чым кліент за ім, і розніца — гэта менавіта тое месца, дзе хаваюцца памылкі селектараў. Нязменны лічыльнік на прэфіксе, які павінен быць заняты, — мацнейшае сведчанне, чым любы радок журнала, бо ён вымярае адсутнасць.

Як зрабіць змену зваротнай

Трымайце зыходную палітыку ў канфігурацыі, пакуль новая не будзе праверана з кожнай камбінацыі прэфіксаў, і адзначце, у якую асацыяцыю трапіў кожны паток. Калі бок замяняе асацыяцыі пры змене прапановы, адкат павінен аднавіць старую прапанову, а не толькі старыя адрасы.

Узгадніце з уладальнікам другога канца да адкрыцця акна. Зводка, якую адзін бок лічыць відавочнай, для другога можа быць непрымальным групаваннем, і выявіць гэта падчас змены дорага. Дамоўцеся пра прапанаванае групаванне пісьмова, затым параўнайце яго з тым, што ўсталёўвае абмен. Трымайце гэтую дамову ў заяўцы на змену, а не ў ланцужку чата, які знікне на наступным тыдні.