두 개의 /24 대신 하나의 /23: 협상에서 달라지는 것

인접한 두 /24는 깔끔하게 하나의 /23으로 합쳐지고, 그 정돈된 산술은 사람들에게 변경이 겉치레일 뿐이라고 믿게 만든다. 이것은 주소에 관한 산술이고, 터널이 신경 쓰는 것은 셀렉터이며, 셀렉터는 네트워크의 서술이 아니라 협상 제안이다. 더 짧은 줄은 같은 트래픽을 그대로 보호할 수도, 의도보다 더 많이 보호할 수도, 절반을 덮지 못할 수도 있다. 어느 쪽이 될지는 두 피어가 무엇을 받아들일 준비가 되어 있느냐에 달려 있다. 세 가지 중 무엇이 일어났는지 아는 유일한 방법은 설치된 결과를 읽는 것이다.

사람들이 하나로 합쳐 버리는 세 가지 사실

주소 집합은 어떤 호스트를 보호하려는지 말한다. 그룹화는 그 주소를 어떻게 제안하는지 말한다. 셀렉터 하나인지 여럿인지, 연관 하나인지 여럿인지다. 협상된 결과는 두 피어가 실제로 설치한 것을 말하며, 앞의 두 가지 어느 것보다 좁을 수 있다.

변경 기록에는 이들을 따로 적어라. 설정 한 줄이 서로 다른 세 가지 답을 숨기는 일이 흔하다. 이들을 분리하지 못하는 검토자는 변경을 승인할 수도 없다.

응답자가 당신의 집계로 할 수 있는 일

IKEv2 응답자는 제안된 셀렉터 쌍을 자신이 받아들일 수 있는 부분집합으로 좁힐 수 있고, 받아들일 만한 것이 없으면 제안을 아예 거부할 수 있다. 또한 추가 트래픽이 이 연관에 담기는 대신 다른 연관이 필요하다고 알릴 수도 있다.

아무것도 받아들이지 않는 응답자는 대신 오류를 반환하며, 이는 적어도 제안이 조용히 좁혀진 것이 아니라 거부되었음을 말해 준다.

즉 성공한 교환은 두 피어가 무언가에 합의했다는 것을 증명할 뿐, 당신이 나열한 모든 것에 합의했다는 뜻은 아니다. 첫 성공 메시지는 결과를 읽는 출발점이며 결코 결론이 아니다. 받아들여진 부분집합은 단일 /24보다 작을 수 있고, 그러면 설치된 집합은 제안과 전혀 비슷하지 않게 보인다.

요약이 조용히 경계를 지우는 곳

두 /24는 서로 다른 서비스 규칙을 담을 수 있다. 하나는 관리 프로토콜만 허용하고 다른 하나는 일반 애플리케이션을 허용할 수 있다. IP 계층에서 두 주소를 모두 덮는 셀렉터는 그 규칙을 보존하지 않으며, 요약은 경계를 터널 뒤에 있는 어떤 필터링으로 옮겨 버린다. 집계하기 전에 서브넷별 서비스 규칙을 나열하라. 그렇지 않으면 그 비교는 결코 일어나지 않는다.

프로토콜과 포트 값은 셀렉터의 일부이며 선택적 추가 항목이 아니다. 원래 정책이 이들을 제한했다면 집계도 같은 제한을 지녀야 한다. 그렇지 않으면 그 변경은 라우팅 옷을 입은 권한 변경이다. 제한이 원래 정책의 핵심이었다면 요약 후에도 명시적으로 유지하고 기록에 그렇게 적어라.

프리픽스별로 결과 읽기

변경 후에는 설정된 것이 아니라 설치된 것을 보라. 그다음 각 프리픽스에서 각 방향으로 흐름을 생성하고, 그것을 처리하는 연관에 속한 카운터를 확인하라. 하나의 연관에서 트래픽을 만드는 두 프리픽스는 괜찮다. 하나가 아무것도 만들지 않는 두 프리픽스가 바로 발견이다.

사용자가 실행하는 것과 같은 애플리케이션으로 이것을 하라. 게이트웨이에서 시작되는 프로브는 그 뒤의 클라이언트와 다른 경로를 시험한다, 그리고 그 차이가 바로 셀렉터 버그가 숨어 있는 지점이다. 바빠야 할 프리픽스에서 카운터가 변하지 않는 것은 어떤 로그 한 줄보다 강한 증거다. 부재를 측정하기 때문이다.

변경을 되돌릴 수 있게 만들기

새 정책이 모든 프리픽스 조합에서 시험될 때까지 원래 정책을 설정에 남겨 두고, 각 흐름이 어느 연관에 떨어졌는지 기록하라. 제안이 바뀔 때 피어가 연관을 교체한다면, 롤백은 예전 제안을 복원해야 하며 예전 주소만으로는 부족하다.

창이 열리기 전에 반대쪽 끝점의 소유자와 조율하라. 한쪽이 당연하다고 여기는 요약이 다른 쪽에서는 받아들일 수 없는 그룹화일 수 있고, 변경 도중에 그것을 알아내는 것은 비싸다. 제안하는 그룹화를 서면으로 합의하고, 그것을 교환이 설치하는 내용과 비교하라. 그 합의는 변경 티켓에 남겨라. 다음 주에 사라질 채팅 스레드에 두지 마라.