Una /23 invece di due /24: cosa cambia nella negoziazione

Due /24 adiacenti si fondono in modo ordinato in una /23, e questa aritmetica così pulita convince la gente che il cambiamento sia cosmetico. È aritmetica sugli indirizzi, e al tunnel interessano i selettori, che sono un’offerta di negoziazione e non una descrizione di una rete. La riga più corta può lasciare lo stesso traffico protetto, proteggerne più del previsto o non coprirne la metà, a seconda di ciò che i due peer sono disposti ad accettare. Leggere il risultato installato è l’unico modo per sapere quale dei tre si è verificato.

Tre fatti che la gente fonde in uno

L’insieme di indirizzi dice quali host devono essere protetti. Il raggruppamento dice come vengono offerti quegli indirizzi: un selettore o più, in un’associazione o in più. Il risultato negoziato dice cosa hanno installato davvero i due peer, e può essere più stretto di uno qualsiasi dei primi due.

Scriveteli separatamente nel registro della modifica. Una singola riga di configurazione nasconde spesso tre risposte diverse. Un revisore che non riesce a separarle non può nemmeno approvare la modifica.

Cosa può fare il responder con il vostro aggregato

Un responder IKEv2 può restringere una coppia di selettori offerta a un sottoinsieme che è disposto ad accettare, e può rifiutare l’offerta di netto se non esiste nulla di accettabile. Può anche indicare che il traffico aggiuntivo richiede un’altra associazione invece di rientrare in questa.

Un responder che non accetta nulla restituisce un errore, il che almeno dice che l’offerta è stata rifiutata e non ristretta in silenzio.

Ciò significa che uno scambio riuscito prova che i peer si sono accordati su qualcosa, non che si sono accordati su tutto ciò che avete elencato. Il messaggio iniziale di successo è un punto di partenza per leggere il risultato, mai una conclusione. Il sottoinsieme accettato può essere più piccolo di una singola /24, il che rende l’insieme installato irriconoscibile rispetto all’offerta.

Dove un riepilogo cancella in silenzio un confine

Due /24 possono avere regole di servizio diverse: una può consentire solo un protocollo di gestione, l’altra un’applicazione generale. Un selettore che copre entrambi gli indirizzi a livello IP non conserva quelle regole, e il riepilogo sposta il confine nel filtraggio che esiste dietro il tunnel. Elencate le regole di servizio per sottorete prima di aggregare, altrimenti quel confronto non avviene mai.

I valori di protocollo e porta fanno parte di un selettore, non sono un extra opzionale. Se la politica originale li limitava, l’aggregato deve portare la stessa limitazione, altrimenti la modifica è un cambio di permessi travestito da routing. Se la limitazione era il punto della politica originale, tenetela esplicita dopo il riepilogo e ditelo nel registro.

Leggere il risultato per prefisso

Dopo la modifica, guardate ciò che è stato installato e non ciò che è stato configurato. Poi generate un flusso da ogni prefisso in ogni direzione, e controllate i contatori che appartengono all’associazione che lo gestisce. Due prefissi che producono traffico su un’associazione vanno bene; due prefissi in cui uno non produce nulla sono la scoperta.

Fatelo con la stessa applicazione che eseguono gli utenti. Una sonda che parte dal gateway prova un percorso diverso da un client dietro di esso, e la differenza è esattamente dove si nascondono i bug dei selettori. Un contatore piatto su un prefisso che dovrebbe essere occupato è una prova più forte di qualsiasi riga di log, perché misura un’assenza.

Rendere la modifica reversibile

Tenete la politica originale nella configurazione finché quella nuova non è stata provata da ogni combinazione di prefissi, e annotate in quale associazione è finito ogni flusso. Se un peer sostituisce le associazioni quando l’offerta cambia, il rollback deve ripristinare la vecchia offerta e non solo i vecchi indirizzi.

Coordinatorvi con il proprietario dell’altro estremo prima che la finestra si apra. Un riepilogo che un lato considera ovvio può essere un raggruppamento inaccettabile dall’altro, e scoprirlo durante la modifica costa caro. Concordate per iscritto il raggruppamento offerto, poi confrontatelo con ciò che lo scambio installa. Conservate quell’accordo nel ticket della modifica, non in un filo di chat che sparisce la settimana dopo.