Jedan /23 umjesto dvije /24: šta se mijenja u pregovaranju

Dvije susjedne /24 se uredno sažimaju u jedan /23, i ta uredna aritmetika uvjerava ljude da je promjena kozmetička. To je aritmetika o adresama, a tunelu su važni selektori, koji su pregovaračka ponuda, a ne opis mreže. Kraći red može ostaviti isti saobraćaj zaštićen, zaštititi više nego što je namjeravano ili ne pokriti njegovu polovinu, zavisno od toga šta su dvije strane spremne prihvatiti. Čitanje instaliranog rezultata jedini je način da se zna koji se od ta tri slučaja dogodio.

Tri činjenice koje ljudi spajaju u jednu

Skup adresa kaže koji hostovi treba da budu zaštićeni. Grupisanje kaže kako se te adrese nude: jedan selektor ili više njih, u jednoj asocijaciji ili više. Pregovarani rezultat kaže šta su dvije strane zaista instalirale, i može biti uži od bilo kojeg od prva dva.

Zapišite ih odvojeno u zapis o promjeni. Jedan red konfiguracije često skriva tri različita odgovora. Recenzent koji ih ne može razdvojiti ne može odobriti ni promjenu.

Šta odgovarač smije učiniti s vašim sažetkom

IKEv2 odgovarač može suziti ponuđeni par selektora na podskup koji je spreman prihvatiti, a može i potpuno odbiti ponudu ako ništa prihvatljivo ne postoji. Može takođe naznačiti da dodatni saobraćaj treba drugu asocijaciju umjesto da se uklopi u ovu.

Odgovarač koji ništa ne prihvata vraća grešku, što barem kaže da je ponuda odbijena, a ne tiho sužena.

To znači da uspješna razmjena dokazuje da su se strane dogovorile o nečemu, a ne da su se dogovorile o svemu što ste naveli. Prva poruka o uspjehu je polazna tačka za čitanje rezultata, nikada zaključak. Prihvaćeni podskup može biti manji od jednog /24, zbog čega instalirani skup ne izgleda nimalo kao ponuda.

Gdje sažetak tiho briše granicu

Dvije /24 mogu imati različita pravila usluge: jedna može dopuštati samo protokol upravljanja, druga opštu aplikaciju. Selektor koji pokriva obje adrese na IP nivou ne čuva ta pravila, a sažetak pomjera granicu u kakvo god filtriranje postoji iza tunela. Navedite pravila usluge po podmreži prije agregacije, inače se to poređenje nikada ne dogodi.

Vrijednosti protokola i porta dio su selektora, a ne dodatna opcija. Ako ih je izvorna politika ograničavala, agregat mora nositi isto ograničenje, inače je promjena promjena dozvola u ruhu rutiranja. Ako je ograničenje bilo smisao izvorne politike, zadržite ga eksplicitnim nakon sažetka i to recite u zapisu.

Čitanje rezultata po prefiksu

Nakon promjene gledajte šta je instalirano, a ne šta je konfigurisano. Zatim generišite tok sa svakog prefiksa u svakom smjeru i provjerite brojače koji pripadaju asocijaciji koja ga obrađuje. Dva prefiksa koja stvaraju saobraćaj na jednoj asocijaciji su u redu; dva prefiksa kod kojih jedan ne stvara ništa jesu nalaz.

Uradite to istom aplikacijom koju koriste korisnici. Sonda koja počinje na gejveju ispituje drugačiju putanju od klijenta iza njega, a razlika je upravo tamo gdje se skrivaju greške u selektorima. Nepromijenjen brojač na prefiksu koji bi trebao biti zauzet jači je dokaz od bilo koje linije dnevnika, jer mjeri odsustvo.

Kako promjenu učiniti povratnom

Držite izvornu politiku u konfiguraciji dok nova ne bude isprobana iz svake kombinacije prefiksa, i zabilježite u koju je asocijaciju svaki tok sletio. Ako strana zamjenjuje asocijacije kada se ponuda promijeni, vraćanje mora obnoviti staru ponudu, a ne samo stare adrese.

Uskladite se s vlasnikom drugog kraja prije nego se otvori prozor. Sažetak koji jedna strana smatra očiglednim može biti neprihvatljivo grupisanje na drugoj, a otkriti to tokom promjene je skupo. Dogovorite ponuđeno grupisanje u pisanoj formi, pa ga uporedite s onim što razmjena instalira. Čuvajte taj dogovor u tiketu promjene, a ne u niti razgovora koja nestaje sljedeće sedmice.