Jedna /23 místo dvou /24: co se mění při vyjednávání

Dvě sousední /24 se hladce slijí do jedné /23 a tahle úhledná aritmetika lidi přesvědčí, že změna je kosmetická. Je to aritmetika o adresách, jenže tunelu jde o selektory, a ty jsou nabídkou k vyjednávání, ne popisem sítě. Kratší řádek může nechat stejný provoz chráněný, chránit víc, než se zamýšlelo, nebo nepokrýt jeho polovinu — podle toho, co jsou obě strany ochotné přijmout. Přečíst nainstalovaný výsledek je jediný způsob, jak zjistit, který z těch tří případů nastal.

Tři fakta, která lidé slévají v jedno

Množina adres říká, kteří hostitelé mají být chráněni. Seskupení říká, jak se tyto adresy nabízejí: jeden selektor, nebo několik, v jednom přidružení, nebo ve více. Vyjednaný výsledek říká, co obě strany skutečně nainstalovaly, a může být užší než kterékoli z prvních dvou.

Zapište je odděleně do záznamu o změně. Jeden řádek konfigurace často skrývá tři různé odpovědi. Recenzent, který je nedokáže oddělit, nemůže změnu schválit.

Co smí protistrana s vaším souhrnem udělat

Responder IKEv2 smí zúžit nabízenou dvojici selektorů na podmnožinu, kterou je ochoten přijmout, a smí nabídku rovnou odmítnout, pokud neexistuje nic přijatelného. Může také naznačit, že další provoz potřebuje jiné přidružení, místo aby se vešel do tohoto.

Responder, který nic nepřijme, vrátí chybu, což aspoň říká, že nabídka byla odmítnuta, a ne tiše zúžena.

To znamená, že úspěšná výměna dokazuje, že se strany na něčem shodly, ne že se shodly na všem, co jste vypsali. První zpráva o úspěchu je výchozí bod pro čtení výsledku, nikdy závěr. Přijatá podmnožina může být menší než jediná /24, takže nainstalovaná množina nevypadá vůbec jako nabídka.

Kde souhrn tiše smaže hranici

Dvě /24 mohou mít různá pravidla služeb: jedna může povolit jen řídicí protokol, druhá obecnou aplikaci. Selektor, který pokrývá obě adresy na vrstvě IP, tato pravidla nezachová, a souhrn posouvá hranici do filtrování, které existuje za tunelem. Před agregací vypište pravidla služeb pro každou podsíť, jinak to srovnání nikdy neproběhne.

Hodnoty protokolu a portu jsou součástí selektoru, ne volitelný doplněk. Pokud je původní politika omezovala, agregát musí nést stejné omezení, jinak je změna změnou oprávnění v kostýmu směrování. Pokud bylo omezení smyslem původní politiky, ponechte ho po souhrnu explicitní a řekněte to v záznamu.

Čtení výsledku po prefixech

Po změně se dívejte na to, co je nainstalované, ne na to, co je nakonfigurované. Pak vygenerujte tok z každého prefixu v každém směru a zkontrolujte čítače, které patří přidružení, jež ho obsluhuje. Dva prefixy, které vytvářejí provoz na jednom přidružení, jsou v pořádku; dva prefixy, kde jeden nevytváří nic, jsou nález.

Dělejte to stejnou aplikací, kterou používají uživatelé. Sonda, která vzniká na bráně, zkouší jinou cestu než klient za ní, a rozdíl je přesně tam, kde se skrývají chyby selektorů. Neměnný čítač na prefixu, který by měl být zaneprázdněný, je silnější důkaz než kterýkoli řádek logu, protože měří nepřítomnost.

Jak udělat změnu vratnou

Ponechte původní politiku v konfiguraci, dokud nová neprojde každou kombinací prefixů, a poznamenejte, do kterého přidružení každý tok dopadl. Pokud protistrana při změně nabídky nahrazuje přidružení, musí rollback obnovit starou nabídku, a ne jen staré adresy.

Koordinujte se s vlastníkem druhého konce, než se okno otevře. Souhrn, který jedna strana považuje za samozřejmý, může být pro druhou nepřijatelné seskupení, a zjistit to během změny je drahé. Dohodněte nabízené seskupení písemně a pak je porovnejte s tím, co výměna nainstaluje. Uchovejte tu dohodu v tiketu změny, ne ve vlákně chatu, které příští týden zmizí.