Viens /23 divu /24 vietā: kas mainās sarunās

Divi blakus esoši /24 kārtīgi saplūst vienā /23, un šī kārtīgā aritmētika pārliecina cilvēkus, ka izmaiņa ir kosmētiska. Tā ir aritmētika par adresēm, bet tunelim svarīgi ir selektori, kas ir sarunu piedāvājums, nevis tīkla apraksts. Īsākā rinda var atstāt to pašu satiksmi aizsargātu, aizsargāt vairāk nekā paredzēts vai neaptvert pusi no tās atkarībā no tā, ko abas puses ir gatavas pieņemt. Izlasīt instalēto rezultātu ir vienīgais veids, kā uzzināt, kurš no šiem trim gadījumiem ir noticis.

Trīs fakti, ko cilvēki sapludina vienā

Adrešu kopa pasaka, kuras saimniekvietas ir jāaizsargā. Grupējums pasaka, kā šīs adreses tiek piedāvātas: viens selektors vai vairāki, vienā asociācijā vai vairākās. Sarunātais rezultāts pasaka, ko abas puses faktiski instalēja, un tas var būt šaurāks par jebkuru no pirmajiem diviem.

Pierakstiet tos atsevišķi izmaiņu žurnālā. Viena konfigurācijas rinda bieži slēpj trīs dažādas atbildes. Pārbaudītājs, kurš nespēj tos atšķirt, nevar arī apstiprināt izmaiņu.

Ko atbildētājs drīkst darīt ar jūsu apkopojumu

IKEv2 atbildētājs var sašaurināt piedāvāto selektoru pāri līdz apakškopai, ko tas ir gatavs pieņemt, un tas var pilnībā atteikt piedāvājumu, ja nav pieņemama risinājuma. Tas var arī norādīt, ka papildu satiksmei vajadzīga cita asociācija, nevis iekļaušanās šajā.

Atbildētājs, kas neko nepieņem, tā vietā atgriež kļūdu, un tas vismaz pasaka, ka piedāvājums tika noraidīts, nevis klusi sašaurināts.

Tas nozīmē, ka veiksmīga apmaiņa pierāda, ka puses par kaut ko vienojās, nevis ka tās vienojās par visu, ko jūs uzskaitījāt. Sākotnējais veiksmes ziņojums ir rezultāta lasīšanas sākumpunkts, nekad ne secinājums. Pieņemtā apakškopa var būt mazāka par vienu /24, tāpēc instalētā kopa nemaz neizskatās pēc piedāvājuma.

Kur apkopojums klusi izdzēš robežu

Divi /24 var saturēt atšķirīgus pakalpojumu noteikumus: viens var atļaut tikai pārvaldības protokolu, otrs – vispārīgu lietojumprogrammu. Selektors, kas IP līmenī aptver abas adreses, šos noteikumus nesaglabā, un apkopojums pārvieto robežu uz to filtrēšanu, kas pastāv aiz tuneļa. Uzskaitiet pakalpojumu noteikumus katram apakštīklam pirms apkopošanas, citādi šis salīdzinājums nekad nenotiks.

Protokola un porta vērtības ir selektora daļa, nevis neobligāts papildinājums. Ja sākotnējā politika tās ierobežoja, apkopojumam jānes tas pats ierobežojums, citādi izmaiņa ir atļauju maiņa maršrutēšanas kostīmā. Ja ierobežojums bija sākotnējās politikas būtība, saglabājiet to skaidri pēc apkopojuma un ierakstiet to žurnālā.

Rezultāta lasīšana pa prefiksiem

Pēc izmaiņas skatieties uz to, kas tika instalēts, nevis uz to, kas tika konfigurēts. Tad ģenerējiet plūsmu no katra prefiksa katrā virzienā un pārbaudiet skaitītājus, kas pieder asociācijai, kura to apkalpo. Divi prefiksi, kas rada satiksmi vienā asociācijā, ir kārtībā; divi prefiksi, kur viens nerada neko, ir atradums.

Dariet to ar to pašu lietojumprogrammu, ko lieto lietotāji. Zonde, kas nāk no vārtejas, pārbauda citu ceļu nekā aiz tās esošais klients, un tieši šajā atšķirībā slēpjas selektoru kļūdas. Plakans skaitītājs prefiksā, kam vajadzētu būt noslogotam, ir spēcīgāks pierādījums par jebkuru žurnāla rindu, jo tas mēra neesamību.

Kā padarīt izmaiņu atgriežamu

Saglabājiet sākotnējo politiku konfigurācijā, līdz jaunā būs pārbaudīta ar visām prefiksu kombinācijām, un atzīmējiet, kurā asociācijā nonāca katra plūsma. Ja puse maina asociācijas, kad piedāvājums mainās, atritināšanai jāatjauno vecais piedāvājums, nevis tikai vecās adreses.

Saskaņojiet ar otra gala īpašnieku pirms loga atvēršanas. Apkopojums, kas vienai pusei šķiet acīmredzams, otrai var būt nepieņemams grupējums, un to noskaidrot izmaiņas laikā ir dārgi. Vienojieties par piedāvāto grupējumu rakstiski, tad salīdziniet to ar to, ko instalē apmaiņa. Glabājiet šo vienošanos izmaiņu pieteikumā, nevis tērzēšanas pavedienā, kas nākamnedēļ pazudīs.