Unha /23 no canto de dúas /24: que cambia na negociación

Dúas /24 adxacentes colápsanse pulcramente nunha /23, e esa aritmética tan ordenada convence a xente de que o cambio é cosmético. É aritmética sobre enderezos, e ao túnel impórtanlle os selectores, que son unha oferta de negociación e non unha descrición dunha rede. A liña máis curta pode deixar o mesmo tráfico protexido, protexer máis do previsto ou non cubrir a metade, segundo o que os dous pares estean dispostos a aceptar. Ler o resultado instalado é a única forma de saber cal dos tres ocorreu.

Tres feitos que a xente funde nun

O conxunto de enderezos di que hosts deben quedar protexidos. A agrupación di como se ofrecen eses enderezos: un selector ou varios, nunha asociación ou en máis. O resultado negociado di que instalaron realmente os dous pares, e pode ser máis estreito que calquera dos dous primeiros.

Escribaos por separado no rexistro do cambio. Unha soa liña de configuración adoita agochar tres respostas distintas. Un revisor que non pode separalas tampouco pode aprobar o cambio.

Que pode facer o respondedor co seu agregado

Un respondedor IKEv2 pode estreitar un par de selectores ofrecido ata un subconxunto que estea disposto a aceptar, e pode rexeitar a oferta de plano se non existe nada aceptable. Tamén pode indicar que o tráfico adicional necesita outra asociación en lugar de encaixar nesta.

Un respondedor que non acepta nada devolve un erro, o que polo menos di que a oferta foi rexeitada e non estreitada en silencio.

Iso significa que un intercambio exitoso proba que os pares acordaron algo, non que acordaron todo o que enumerou. A mensaxe inicial de éxito é un punto de partida para ler o resultado, nunca unha conclusión. O subconxunto aceptado pode ser menor que unha soa /24, o que fai que o conxunto instalado non se pareza en nada á oferta.

Onde un resumo borra unha fronteira en silencio

Dúas /24 poden ter regras de servizo distintas: unha pode permitir só un protocolo de xestión, a outra unha aplicación xeral. Un selector que cobre os dous enderezos na capa IP non conserva esas regras, e o resumo move a fronteira cara ao filtrado que exista detrás do túnel. Enumere as regras de servizo por subrede antes de agregar, ou esa comparación nunca ocorre.

Os valores de protocolo e porto son parte dun selector, non un extra opcional. Se a política orixinal os restrinxía, o agregado ten que levar a mesma restrición, ou o cambio é un cambio de permisos disfrazado de encamiñamento. Se a restrición era o sentido da política orixinal, mantéña explícita tras o resumo e dígao no rexistro.

Ler o resultado por prefixo

Despois do cambio, mire o que se instalou e non o que se configurou. Logo xere un fluxo desde cada prefixo en cada dirección e revise os contadores que pertencen á asociación que o atende. Dous prefixos que producen tráfico nunha asociación están ben; dous prefixos onde un non produce nada son o achado.

Fágao coa mesma aplicación que executan os usuarios. Unha sonda que se orixina na pasarela proba unha ruta distinta que un cliente detrás dela, e a diferenza está exactamente onde se agochan os erros de selector. Un contador plano nun prefixo que debería estar ocupado é unha evidencia máis forte que calquera liña de rexistro, porque mide unha ausencia.

Facer reversible o cambio

Manteña a política orixinal na configuración ata que a nova se exercitase desde cada combinación de prefixos, e anote en que asociación aterrou cada fluxo. Se un par substitúe asociacións cando cambia a oferta, a reversión ten que restaurar a oferta antiga e non só os enderezos antigos.

Coordínese co propietario do outro extremo antes de que se abra a xanela. Un resumo que un lado considera obvio pode ser unha agrupación inaceptable no outro, e descubrilo durante o cambio é caro. Acorde por escrito a agrupación ofrecida e logo compárea co que instala o intercambio. Garde ese acordo no tícket do cambio, non nun fío de chat que desaparece a semana que vén.