Un /23 au lieu de deux /24 : ce qui change dans la négociation

Deux /24 adjacents se fondent proprement en un /23, et cette arithmétique si nette persuade les gens que le changement est cosmétique. C’est de l’arithmétique sur des adresses, et le tunnel se soucie des sélecteurs, qui sont une offre de négociation et non une description d’un réseau. La ligne plus courte peut laisser le même trafic protégé, protéger plus que prévu ou n’en couvrir que la moitié, selon ce que les deux pairs sont prêts à accepter. Lire le résultat installé est le seul moyen de savoir lequel des trois s’est produit.

Trois faits que les gens fusionnent en un

L’ensemble d’adresses indique quels hôtes doivent être protégés. Le regroupement indique comment ces adresses sont proposées : un sélecteur ou plusieurs, dans une association ou davantage. Le résultat négocié indique ce que les deux pairs ont réellement installé, et il peut être plus étroit que l’un ou l’autre des deux premiers.

Écrivez-les séparément dans le dossier de changement. Une seule ligne de configuration cache souvent trois réponses différentes. Un relecteur qui ne peut pas les séparer ne peut pas non plus approuver le changement.

Ce que le répondeur peut faire de votre agrégat

Un répondeur IKEv2 peut restreindre une paire de sélecteurs proposée à un sous-ensemble qu’il est prêt à accepter, et il peut refuser l’offre d’emblée si rien d’acceptable n’existe. Il peut aussi indiquer que le trafic supplémentaire exige une autre association plutôt que de tenir dans celle-ci.

Un répondeur qui n’accepte rien renvoie une erreur, ce qui dit au moins que l’offre a été refusée et non restreinte en silence.

Cela signifie qu’un échange réussi prouve que les pairs se sont mis d’accord sur quelque chose, pas qu’ils se sont mis d’accord sur tout ce que vous avez listé. Le premier message de succès est un point de départ pour lire le résultat, jamais une conclusion. Le sous-ensemble accepté peut être plus petit qu’un seul /24, ce qui rend l’ensemble installé méconnaissable par rapport à l’offre.

Où un résumé efface discrètement une frontière

Deux /24 peuvent porter des règles de service différentes : l’une peut n’autoriser qu’un protocole d’administration, l’autre une application générale. Un sélecteur qui couvre les deux adresses au niveau IP ne préserve pas ces règles, et le résumé déplace la frontière vers le filtrage qui existe derrière le tunnel. Listez les règles de service par sous-réseau avant d’agréger, sinon cette comparaison n’a jamais lieu.

Les valeurs de protocole et de port font partie d’un sélecteur, pas d’un extra optionnel. Si la politique d’origine les restreignait, l’agrégat doit porter la même restriction, sinon le changement est un changement de permissions déguisé en routage. Si la restriction était le sens de la politique d’origine, gardez-la explicite après le résumé et dites-le dans le dossier.

Lire le résultat par préfixe

Après le changement, regardez ce qui a été installé et non ce qui a été configuré. Générez ensuite un flux depuis chaque préfixe dans chaque direction, et vérifiez les compteurs qui appartiennent à l’association qui le traite. Deux préfixes qui produisent du trafic sur une association, c’est bien ; deux préfixes dont l’un ne produit rien, c’est la trouvaille.

Faites-le avec la même application que celle qu’exécutent les utilisateurs. Une sonde qui part de la passerelle teste un chemin différent de celui d’un client derrière elle, et la différence est exactement là où se cachent les bogues de sélecteur. Un compteur plat sur un préfixe qui devrait être occupé est une preuve plus forte que n’importe quelle ligne de journal, parce qu’il mesure une absence.

Rendre le changement réversible

Gardez la politique d’origine dans la configuration jusqu’à ce que la nouvelle ait été éprouvée depuis chaque combinaison de préfixes, et notez dans quelle association chaque flux a atterri. Si un pair remplace des associations quand l’offre change, le retour arrière doit restaurer l’ancienne offre et pas seulement les anciennes adresses.

Coordonnez-vous avec le propriétaire de l’autre extrémité avant l’ouverture de la fenêtre. Un résumé qu’un côté juge évident peut être un regroupement inacceptable de l’autre, et le découvrir pendant le changement coûte cher. Convenez par écrit du regroupement proposé, puis comparez-le à ce que l’échange installe. Conservez cet accord dans le ticket de changement, pas dans un fil de discussion qui disparaîtra la semaine prochaine.