Una /23 en lloc de dues /24: què canvia en la negociació

Dues /24 adjacents es col·lapsen pulcrament en una /23, i aquesta aritmètica tan endreçada convenç la gent que el canvi és cosmètic. És aritmètica sobre adreces, i el túnel es fixa en els selectors, que són una oferta de negociació i no una descripció d’una xarxa. La línia més curta pot deixar el mateix trànsit protegit, protegir més del que es volia o no cobrir-ne la meitat, segons què estiguin disposats a acceptar els dos parells. Llegir el resultat instal·lat és l’única manera de saber quin dels tres ha passat.

Tres fets que la gent fusiona en un

El conjunt d’adreces diu quins equips s’han de protegir. L’agrupació diu com s’ofereixen aquestes adreces: un selector o diversos, en una associació o més. El resultat negociat diu què han instal·lat realment els dos parells, i pot ser més estret que qualsevol dels dos primers.

Escriviu-los per separat al registre del canvi. Una sola línia de configuració sovint amaga tres respostes diferents. Un revisor que no els pot separar tampoc no pot aprovar el canvi.

Què pot fer el responedor amb la vostra agregació

Un responedor IKEv2 pot estrényer una parella de selectors oferta a un subconjunt que estigui disposat a acceptar, i pot rebutjar l’oferta directament si no n’existeix cap d’acceptable. També pot indicar que el trànsit addicional necessita una altra associació en lloc d’encaixar en aquesta.

Un responedor que no accepta res retorna un error, cosa que almenys diu que l’oferta ha estat rebutjada i no estretida en silenci.

Això vol dir que un intercanvi reeixit demostra que els parells s’han posat d’acord en alguna cosa, no que s’hagin posat d’acord en tot el que heu llistat. El missatge inicial d’èxit és un punt de partida per llegir el resultat, mai una conclusió. El subconjunt acceptat pot ser més petit que una sola /24, cosa que fa que el conjunt instal·lat no s’assembli gens a l’oferta.

On un resum esborra una frontera en silenci

Dues /24 poden tenir regles de servei diferents: una pot permetre només un protocol de gestió, l’altra una aplicació general. Un selector que cobreix les dues adreces a la capa IP no conserva aquestes regles, i el resum mou la frontera cap al filtratge que hi hagi darrere del túnel. Llisteu les regles de servei per subxarxa abans d’agregar, o aquesta comparació no passa mai.

Els valors de protocol i port formen part d’un selector, no són un extra opcional. Si la política original els restringia, l’agregat ha de portar la mateixa restricció, o el canvi és un canvi de permisos disfressat d’encaminament. Si la restricció era el punt de la política original, manteniu-la explícita després del resum i digueu-ho al registre.

Llegir el resultat per prefix

Després del canvi, mireu què s’ha instal·lat i no què s’ha configurat. Després genereu un flux des de cada prefix en cada direcció i reviseu els comptadors que pertanyen a l’associació que el gestiona. Dos prefixos que produeixen trànsit en una associació estan bé; dos prefixos on un no produeix res són la troballa.

Feu-ho amb la mateixa aplicació que fan servir els usuaris. Una sonda que s’origina a la passarel·la prova un camí diferent que un client darrere seu, i la diferència és exactament on s’amaguen els errors de selector. Un comptador pla en un prefix que hauria d’estar ocupat és una evidència més forta que qualsevol línia de registre, perquè mesura una absència.

Fer el canvi reversible

Manteniu la política original a la configuració fins que la nova s’hagi exercit des de cada combinació de prefixos, i anoteu en quina associació ha acabat cada flux. Si un parell substitueix associacions quan canvia l’oferta, la reversió ha de restaurar l’oferta antiga i no només les adreces antigues.

Coordineu-vos amb el propietari de l’altre extrem abans que s’obri la finestra. Un resum que un costat considera obvi pot ser una agrupació inacceptable a l’altre, i descobrir-ho durant el canvi és car. Acordeu per escrit l’agrupació oferta i després compareu-la amb el que instal·la l’intercanvi. Guardeu aquest acord al tiquet del canvi, no en un fil de xat que desapareix la setmana que ve.