Satu /23 alih-alih dua /24: apa yang berubah dalam negosiasi

Dua /24 yang bersebelahan melebur rapi menjadi satu /23, dan aritmetika rapi itu meyakinkan orang bahwa perubahannya kosmetik. Ini aritmetika tentang alamat, sedangkan terowongan peduli pada selektor, yang merupakan tawaran negosiasi, bukan deskripsi jaringan. Baris yang lebih pendek bisa membiarkan lalu lintas yang sama tetap terlindungi, melindungi lebih dari yang dimaksud, atau gagal mencakup separuhnya, tergantung apa yang bersedia diterima kedua peer. Membaca hasil yang terpasang adalah satu-satunya cara mengetahui mana dari ketiganya yang terjadi.

Tiga fakta yang orang leburkan menjadi satu

Himpunan alamat menyatakan host mana yang hendak dilindungi. Pengelompokan menyatakan bagaimana alamat itu ditawarkan: satu selektor atau beberapa, dalam satu asosiasi atau lebih. Hasil yang dinegosiasikan menyatakan apa yang benar-benar dipasang kedua peer, dan bisa lebih sempit daripada salah satu dari dua yang pertama.

Tuliskan ketiganya terpisah dalam catatan perubahan. Satu baris konfigurasi sering menyembunyikan tiga jawaban berbeda. Peninjau yang tidak dapat memisahkannya juga tidak dapat menyetujui perubahan itu.

Apa yang boleh dilakukan responder dengan agregat Anda

Responder IKEv2 boleh mempersempit pasangan selektor yang ditawarkan ke subset yang bersedia diterimanya, dan boleh menolak tawaran itu sama sekali bila tidak ada yang dapat diterima. Ia juga dapat menyatakan bahwa lalu lintas tambahan memerlukan asosiasi lain alih-alih masuk ke asosiasi ini.

Responder yang tidak menerima apa pun mengembalikan galat, yang setidaknya menyatakan tawaran ditolak, bukan dipersempit diam-diam.

Artinya, pertukaran yang berhasil membuktikan kedua peer menyepakati sesuatu, bukan bahwa mereka menyepakati semua yang Anda daftar. Pesan sukses awal adalah titik awal untuk membaca hasil, bukan kesimpulan. Subset yang diterima bisa lebih kecil daripada satu /24, sehingga himpunan yang terpasang tidak tampak seperti tawarannya sama sekali.

Di mana ringkasan diam-diam menghapus batas

Dua /24 dapat memuat aturan layanan yang berbeda: yang satu mungkin hanya mengizinkan protokol manajemen, yang lain aplikasi umum. Selektor yang mencakup kedua alamat pada lapisan IP tidak mempertahankan aturan itu, dan ringkasan memindahkan batas ke penyaringan apa pun yang ada di balik terowongan. Daftarkan aturan layanan per subnet sebelum mengagregasi, atau perbandingan itu tidak akan pernah terjadi.

Nilai protokol dan port adalah bagian dari selektor, bukan tambahan opsional. Jika kebijakan asli membatasinya, agregat harus membawa batasan yang sama, atau perubahannya adalah perubahan izin yang mengenakan kostum perutean. Jika batasan itulah inti kebijakan asli, pertahankan secara eksplisit setelah ringkasan dan nyatakan hal itu dalam catatan.

Membaca hasil per prefiks

Setelah perubahan, lihat apa yang terpasang, bukan apa yang dikonfigurasi. Lalu bangkitkan aliran dari setiap prefiks di setiap arah, dan periksa penghitung milik asosiasi yang menanganinya. Dua prefiks yang menghasilkan lalu lintas pada satu asosiasi tidak masalah; dua prefiks yang salah satunya tidak menghasilkan apa pun itulah temuannya.

Lakukan ini dengan aplikasi yang sama yang dijalankan pengguna. Probe yang berasal dari gateway menguji jalur berbeda daripada klien di belakangnya, dan perbedaannya persis di tempat bug selektor bersembunyi. Penghitung datar pada prefiks yang seharusnya sibuk adalah bukti lebih kuat daripada baris log mana pun, karena ia mengukur ketiadaan.

Membuat perubahan dapat dibalik

Pertahankan kebijakan asli dalam konfigurasi sampai yang baru diuji dari setiap kombinasi prefiks, dan catat asosiasi mana yang menjadi tempat setiap aliran. Jika peer mengganti asosiasi saat tawaran berubah, pengembalian harus memulihkan tawaran lama dan bukan sekadar alamat lama.

Koordinasi dengan pemilik ujung lainnya sebelum jendela dibuka. Ringkasan yang dianggap jelas oleh satu sisi bisa menjadi pengelompokan yang tidak dapat diterima di sisi lain, dan menemukannya saat perubahan berlangsung mahal. Sepakati pengelompokan yang ditawarkan secara tertulis, lalu bandingkan dengan apa yang dipasang pertukaran. Simpan kesepakatan itu di tiket perubahan, bukan di utas obrolan yang hilang pekan depan.