Üks /23 kahe /24 asemel: mis läbirääkimistes muutub

Kaks kõrvutist /24 liituvad puhtalt üheks /23-ks ja see korrapärane aritmeetika veenab inimesi, et muudatus on ainult kosmeetiline. See on aritmeetika aadresside kohta, aga tunnelile loevad selektorid, mis on läbirääkimispakkumine, mitte võrgu kirjeldus. Lühem rida võib jätta sama liikluse kaitstuks, kaitsta rohkem kui kavatseti või jätta pool sellest katmata — sõltuvalt sellest, mida kaks poolt on nõus aktsepteerima. Paigaldatud tulemuse lugemine on ainus viis teada, milline neist kolmest juhtus.

Kolm fakti, mille inimesed üheks sulatavad

Aadressihulk ütleb, millised hostid peaksid olema kaitstud. Rühmitus ütleb, kuidas neid aadresse pakutakse: üks selektor või mitu, ühes assotsiatsioonis või enamas. Läbiräägitud tulemus ütleb, mille kaks poolt tegelikult paigaldasid, ja see võib olla kitsam kui kumbki kahest esimesest.

Kirjutage need muudatuse kirjesse eraldi. Üks konfiguratsioonirida varjab sageli kolme erinevat vastust. Ülevaataja, kes ei suuda neid eraldada, ei saa ka muudatust heaks kiita.

Mida tohib vastaja teie agregaadiga teha

IKEv2 vastaja tohib pakutud selektoripaari kitsendada alamhulgaks, mida ta on nõus aktsepteerima, ja ta tohib pakkumise täielikult tagasi lükata, kui midagi vastuvõetavat ei ole. Ta võib ka märkida, et lisaliiklus vajab teist assotsiatsiooni, selle asemel et sellesse mahtuda.

Vastaja, kes ei aktsepteeri midagi, tagastab hoopis vea, mis vähemalt ütleb, et pakkumine lükati tagasi, mitte ei kitsendatud vaikselt.

See tähendab, et edukas vahetus tõestab, et pooled leppisid milleski kokku, mitte et nad leppisid kokku kõiges, mille te loetlesite. Esimene õnnestumisteade on tulemuse lugemise lähtepunkt, mitte kunagi järeldus. Aktsepteeritud alamhulk võib olla väiksem kui üksik /24, mistõttu paigaldatud hulk ei sarnane pakkumisega üldse.

Kus kokkuvõte vaikselt piiri kustutab

Kahel /24 võivad olla erinevad teenusereeglid: üks lubab ehk ainult haldusprotokolli, teine üldrakendust. Selektori, mis katab mõlemad aadressid IP-kihis, ei säilita neid reegleid, ja kokkuvõte liigutab piiri sinna filtreerimisse, mis on tunneli taga. Loetlege teenusereeglid iga alavõrgu kohta enne agregeerimist, muidu ei toimugi see võrdlus kunagi.

Protokolli ja pordi väärtused on selektori osa, mitte valikuline lisa. Kui algne poliitika neid piirama, peab agregaat kandma sama piirangut, muidu on muudatus marsruutimise kostüümis olev õiguste muudatus. Kui piirang oli algse poliitika mõte, hoidke seda pärast kokkuvõtet selgesõnalisena ja öelge seda kirjes.

Tulemuse lugemine prefiksi kaupa

Pärast muudatust vaadake seda, mis on paigaldatud, mitte seda, mis on konfigureeritud. Seejärel genereerige voog igast prefiksist igas suunas ja kontrollige loendureid, mis kuuluvad seda käsitlevale assotsiatsioonile. Kaks prefiksit, mis tekitavad liiklust ühel assotsiatsioonil, on korras; kaks prefiksit, kus üks ei tekita midagi, on leid.

Tehke seda sama rakendusega, mida kasutajad käivitavad. Lüüsilt algav sond testib teistsugust teed kui selle taga olev klient, ja erinevus on täpselt seal, kus selektorivead peituvad. Muutumatu loendur prefiksil, mis peaks olema hõivatud, on tugevam tõend kui ükski logirida, sest see mõõdab puudumist.

Muudatuse tagasipööratavaks tegemine

Hoidke algne poliitika konfiguratsioonis, kuni uut on iga prefiksikombinatsiooni pealt proovitud, ja märkige, millisesse assotsiatsiooni iga voog maandus. Kui pool asendab assotsiatsioone, kui pakkumine muutub, peab tagasipööramine taastama vana pakkumise, mitte ainult vanad aadressid.

Kooskõlastage teise otspunkti omanikuga enne akna avanemist. Kokkuvõte, mida üks pool peab ilmselgeks, võib teise jaoks olla vastuvõetamatu rühmitus, ja selle avastamine muudatuse ajal on kallis. Leppige pakutud rühmitus kirjalikult kokku ja võrrelge seda seejärel sellega, mille vahetus paigaldab. Hoidke seda kokkulepet muudatuspiletil, mitte vestluslõimes, mis järgmisel nädalal kaob.