Eine /23 statt zweier /24: was sich in der Verhandlung ändert

Zwei benachbarte /24 verschmelzen sauber zu einer /23, und diese saubere Arithmetik überzeugt Leute davon, die Änderung sei kosmetisch. Es ist Arithmetik über Adressen, doch der Tunnel interessiert sich für Selektoren, und die sind ein Verhandlungsangebot, keine Beschreibung eines Netzes. Die kürzere Zeile kann denselben Verkehr geschützt lassen, mehr schützen als beabsichtigt oder die Hälfte davon nicht abdecken — je nachdem, was die beiden Peers zu akzeptieren bereit sind. Das installierte Ergebnis zu lesen ist der einzige Weg zu wissen, welcher der drei Fälle eingetreten ist.

Drei Fakten, die Leute zu einem verschmelzen

Die Adressmenge sagt, welche Hosts geschützt sein sollen. Die Gruppierung sagt, wie diese Adressen angeboten werden: ein Selektor oder mehrere, in einer Assoziation oder mehreren. Das ausgehandelte Ergebnis sagt, was die beiden Peers tatsächlich installiert haben, und es kann enger sein als jedes der ersten beiden.

Schreiben Sie sie getrennt in den Änderungsdatensatz. Eine einzelne Konfigurationszeile verbirgt oft drei verschiedene Antworten. Wer sie nicht trennen kann, kann die Änderung auch nicht genehmigen.

Was der Responder mit Ihrer Aggregierung tun darf

Ein IKEv2-Responder darf ein angebotenes Selektorpaar auf eine Teilmenge verengen, die er zu akzeptieren bereit ist, und er darf das Angebot rundheraus ablehnen, wenn nichts Akzeptables existiert. Er kann auch anzeigen, dass zusätzlicher Verkehr eine andere Assoziation braucht, statt in diese zu passen.

Ein Responder, der nichts akzeptiert, gibt stattdessen einen Fehler zurück, was zumindest sagt, dass das Angebot abgelehnt und nicht still verengt wurde.

Das heißt, ein erfolgreicher Austausch beweist, dass die Peers sich auf etwas geeinigt haben, nicht dass sie sich auf alles geeinigt haben, was Sie aufgelistet haben. Die erste Erfolgsmeldung ist ein Ausgangspunkt zum Lesen des Ergebnisses, nie ein Schluss. Die akzeptierte Teilmenge kann kleiner als ein einzelnes /24 sein, wodurch die installierte Menge ganz anders aussieht als das Angebot.

Wo eine Zusammenfassung still eine Grenze auslöscht

Zwei /24 können unterschiedliche Dienstregen tragen: eine erlaubt vielleicht nur ein Verwaltungsprotokoll, die andere eine allgemeine Anwendung. Ein Selektor, der beide Adressen auf der IP-Ebene abdeckt, bewahrt diese Regeln nicht, und die Zusammenfassung verschiebt die Grenze in die Filterung, die hinter dem Tunnel existiert. Listen Sie die Dienstregen pro Subnetz vor der Aggregierung auf, sonst findet dieser Vergleich nie statt.

Protokoll- und Portwerte sind Teil eines Selektors, kein optionaler Zusatz. Wenn die ursprüngliche Richtlinie sie eingeschränkt hat, muss das Aggregat dieselbe Einschränkung tragen, sonst ist die Änderung eine Berechtigungsänderung im Routing-Kostüm. War die Einschränkung der Sinn der ursprünglichen Richtlinie, halten Sie sie nach der Zusammenfassung explizit und sagen Sie es im Datensatz.

Das Ergebnis pro Präfix lesen

Sehen Sie nach der Änderung darauf, was installiert wurde, statt auf das, was konfiguriert wurde. Erzeugen Sie dann einen Fluss von jedem Präfix in jede Richtung und prüfen Sie die Zähler, die zur zugehörigen Assoziation gehören. Zwei Präfixe, die auf einer Assoziation Verkehr erzeugen, sind in Ordnung; zwei Präfixe, bei denen eines nichts erzeugt, sind der Befund.

Tun Sie das mit derselben Anwendung, die die Nutzer ausführen. Eine Sonde, die am Gateway entsteht, prüft einen anderen Pfad als ein Client dahinter, und der Unterschied liegt genau dort, wo sich Selektorfehler verstecken. Ein unveränderter Zähler auf einem Präfix, das ausgelastet sein sollte, ist ein stärkerer Beleg als jede Logzeile, weil er Abwesenheit misst.

Die Änderung umkehrbar machen

Behalten Sie die ursprüngliche Richtlinie in der Konfiguration, bis die neue aus jeder Präfixkombination heraus erprobt ist, und notieren Sie, in welcher Assoziation jeder Fluss gelandet ist. Wenn ein Peer Assoziationen ersetzt, sobald sich das Angebot ändert, muss der Rollback das alte Angebot wiederherstellen und nicht bloß die alten Adressen.

Stimmen Sie sich mit dem Eigentümer des anderen Endpunkts ab, bevor das Fenster aufgeht. Eine Zusammenfassung, die eine Seite für selbstverständlich hält, kann auf der anderen eine unakzeptable Gruppierung sein, und das während der Änderung herauszufinden ist teuer. Vereinbaren Sie die angebotene Gruppierung schriftlich und vergleichen Sie sie dann mit dem, was der Austausch installiert. Halten Sie diese Vereinbarung im Änderungsticket fest, nicht in einem Chat-Thread, der nächste Woche verschwindet.