Една /23 вместо две /24: какво се променя в преговорите

Две съседни /24 се сгъват спретнато в една /23 и тази спретната аритметика убеждава хората, че промяната е козметична. Това е аритметика за адреси, а тунелът държи на селекторите, които са оферта за преговори, а не описание на мрежа. По-късият ред може да остави същия трафик защитен, да защити повече от предвиденото или да не покрие половината от него — в зависимост от това какво са готови да приемат двете страни. Четенето на инсталирания резултат е единственият начин да разберете кой от тези три случая се е случил.

Три факта, които хората сливат в един

Наборът от адреси казва кои хостове трябва да бъдат защитени. Групирането казва как се предлагат тези адреси: един селектор или няколко, в една асоциация или повече. Договореният резултат казва какво всъщност са инсталирали двете страни и може да е по-тесен от всеки от първите два.

Запишете ги поотделно в записа за промяната. Един ред конфигурация често крие три различни отговора. Рецензент, който не може да ги раздели, също не може да одобри промяната.

Какво може да направи ответникът с вашето обобщение

Ответникът по IKEv2 може да стесни предложена двойка селектори до подмножество, което е готов да приеме, и може направо да отхвърли офертата, ако не съществува нищо приемливо. Той може също да посочи, че допълнителният трафик се нуждае от друга асоциация, вместо да се побере в тази.

Ответник, който не приема нищо, връща грешка, което поне казва, че офертата е била отхвърлена, а не тихо стеснена.

Това означава, че успешният обмен доказва, че страните са се разбрали за нещо, а не че са се разбрали за всичко, което сте изброили. Първото съобщение за успех е отправна точка за четене на резултата, никога заключение. Приетото подмножество може да е по-малко от една /24, което прави инсталирания набор да изглежда съвсем различно от офертата.

Къде обобщението тихо изтрива граница

Две /24 могат да имат различни правила за услуги: едната може да разрешава само протокол за управление, другата — общо приложение. Селектор, който покрива двата адреса на IP ниво, не запазва тези правила и обобщението премества границата във филтрирането, което съществува зад тунела. Изброявайте правилата за услуги по подмрежи, преди да агрегирате, иначе това сравнение никога не се случва.

Стойностите на протокола и порта са част от селектора, а не допълнителна опция. Ако оригиналната политика ги е ограничавала, агрегатът трябва да носи същото ограничение, иначе промяната е промяна на разрешения, облечена като маршрутизация. Ако ограничението е било смисълът на оригиналната политика, запазете го явно след обобщението и го кажете в записа.

Четене на резултата по префикс

След промяната гледайте какво е инсталирано, а не какво е конфигурирано. След това генерирайте поток от всеки префикс във всяка посока и проверете броячите, които принадлежат на асоциацията, която го обработва. Два префикса, които дават трафик по една асоциация, са добре; два префикса, където единият не дава нищо, са находката.

Правете това със същото приложение, което използват потребителите. Сонда, която започва на шлюза, изпитва различен път от клиент зад него, и разликата е точно там, където се крият грешките в селекторите. Неизменен брояч на префикс, който би трябвало да е зает, е по-силно доказателство от всеки ред в журнала, защото измерва отсъствие.

Как да направим промяната обратима

Пазете оригиналната политика в конфигурацията, докато новата не бъде изпробвана от всяка комбинация от префикси, и отбележете в коя асоциация е попаднал всеки поток. Ако партньорът заменя асоциациите при промяна на офертата, връщането назад трябва да възстанови старата оферта, а не само старите адреси.

Координирайте се със собственика на другия край преди отварянето на прозореца. Обобщение, което едната страна смята за очевидно, може да е неприемливо групиране за другата и да го откриете по време на промяната е скъпо. Уговорете писмено предложеното групиране, после го сравнете с това, което обменът инсталира. Пазете това споразумение в заявката за промяна, а не в чат нишка, която изчезва следващата седмица.