Una /23 en lugar de dos /24: qué cambia en la negociación

Dos /24 adyacentes se colapsan pulcramente en una /23, y esa aritmética tan ordenada convence a la gente de que el cambio es cosmético. Es aritmética sobre direcciones, y al túnel le importan los selectores, que son una oferta de negociación y no una descripción de una red. La línea más corta puede dejar el mismo tráfico protegido, proteger más de lo previsto o no cubrir la mitad, según lo que los dos pares estén dispuestos a aceptar. Leer el resultado instalado es la única forma de saber cuál de los tres ocurrió.

Tres hechos que la gente funde en uno

El conjunto de direcciones dice qué hosts deben quedar protegidos. La agrupación dice cómo se ofrecen esas direcciones: un selector o varios, en una asociación o en más. El resultado negociado dice qué instalaron realmente los dos pares, y puede ser más estrecho que cualquiera de los dos primeros.

Escríbalos por separado en el registro del cambio. Una sola línea de configuración suele esconder tres respuestas distintas. Un revisor que no puede separarlas tampoco puede aprobar el cambio.

Qué puede hacer el respondedor con su agregado

Un respondedor IKEv2 puede estrechar un par de selectores ofrecido hasta un subconjunto que esté dispuesto a aceptar, y puede rechazar la oferta de plano si no existe nada aceptable. También puede indicar que el tráfico adicional necesita otra asociación en lugar de encajar en esta.

Un respondedor que no acepta nada devuelve un error, lo que al menos dice que la oferta fue rechazada y no estrechada en silencio.

Eso significa que un intercambio exitoso prueba que los pares acordaron algo, no que acordaron todo lo que usted enumeró. El mensaje inicial de éxito es un punto de partida para leer el resultado, nunca una conclusión. El subconjunto aceptado puede ser menor que una sola /24, lo que hace que el conjunto instalado no se parezca en nada a la oferta.

Donde un resumen borra una frontera en silencio

Dos /24 pueden tener reglas de servicio distintas: una puede permitir solo un protocolo de gestión, la otra una aplicación general. Un selector que cubre ambas direcciones en la capa IP no conserva esas reglas, y el resumen mueve la frontera hacia el filtrado que exista detrás del túnel. Enumere las reglas de servicio por subred antes de agregar, o esa comparación nunca ocurre.

Los valores de protocolo y puerto son parte de un selector, no un extra opcional. Si la política original los restringía, el agregado tiene que llevar la misma restricción, o el cambio es un cambio de permisos disfrazado de enrutamiento. Si la restricción era el sentido de la política original, manténgala explícita tras el resumen y dígalo en el registro.

Leer el resultado por prefijo

Después del cambio, mire lo que se instaló y no lo que se configuró. Luego genere un flujo desde cada prefijo en cada dirección y revise los contadores que pertenecen a la asociación que lo atiende. Dos prefijos que producen tráfico en una asociación están bien; dos prefijos donde uno no produce nada son el hallazgo.

Hágalo con la misma aplicación que ejecutan los usuarios. Una sonda que se origina en la pasarela prueba una ruta distinta que un cliente detrás de ella, y la diferencia está exactamente donde se esconden los errores de selector. Un contador plano en un prefijo que debería estar ocupado es una evidencia más fuerte que cualquier línea de registro, porque mide una ausencia.

Hacer reversible el cambio

Mantenga la política original en la configuración hasta que la nueva se haya ejercitado desde cada combinación de prefijos, y anote en qué asociación aterrizó cada flujo. Si un par reemplaza asociaciones cuando cambia la oferta, la reversión tiene que restaurar la oferta antigua y no solo las direcciones antiguas.

Coordine con el propietario del otro extremo antes de que se abra la ventana. Un resumen que un lado considera obvio puede ser una agrupación inaceptable en el otro, y descubrirlo durante el cambio es caro. Acuerde por escrito la agrupación ofrecida y luego compárela con lo que instala el intercambio. Guarde ese acuerdo en el tique del cambio, no en un hilo de chat que desaparece la semana que viene.