Un /23 în loc de două /24: ce se schimbă în negociere

Două /24 vecine se contopesc curat într-un /23, iar această aritmetică ordonată convinge oamenii că schimbarea este cosmetică. Este aritmetică despre adrese, iar tunelul ține la selectori, care sunt o ofertă de negociere, nu o descriere a unei rețele. Linia mai scurtă poate lăsa același trafic protejat, poate proteja mai mult decât s-a intenționat sau poate să nu acopere jumătate din el, în funcție de ce sunt dispuse să accepte cele două părți. Citirea rezultatului instalat este singurul mod de a afla care dintre cele trei s-a întâmplat.

Trei fapte pe care oamenii le contopesc într-unul

Setul de adrese spune ce gazde trebuie protejate. Gruparea spune cum sunt oferite aceste adrese: un selector sau mai multe, într-o asociere sau mai multe. Rezultatul negociat spune ce au instalat de fapt cele două părți și poate fi mai îngust decât oricare dintre primele două.

Scrie-le separat în registrul schimbării. O singură linie de configurare ascunde adesea trei răspunsuri diferite. Un recenzent care nu le poate separa nu poate aproba nici schimbarea.

Ce are voie să facă respondentul cu agregatul tău

Un respondent IKEv2 poate îngusta o pereche de selectori oferită la o submulțime pe care este dispus să o accepte și poate refuza oferta direct dacă nu există nimic acceptabil. Poate indica și că traficul suplimentar are nevoie de altă asociere în loc să încapă în aceasta.

Un respondent care nu acceptă nimic returnează în schimb o eroare, care măcar spune că oferta a fost respinsă, nu îngustată în tăcere.

Asta înseamnă că un schimb reușit dovedește că părțile au căzut de acord asupra a ceva, nu că au fost de acord cu tot ce ai listat. Mesajul inițial de succes este un punct de plecare pentru citirea rezultatului, niciodată o concluzie. Submulțimea acceptată poate fi mai mică decât un singur /24, ceea ce face setul instalat să nu semene deloc cu oferta.

Unde o rezumare șterge în tăcere o graniță

Două /24 pot avea reguli de serviciu diferite: una poate permite doar un protocol de administrare, cealaltă o aplicație generală. Un selector care acoperă ambele adrese la nivel IP nu păstrează aceste reguli, iar rezumarea mută granița în orice filtrare există în spatele tunelului. Listează regulile de serviciu pe fiecare subrețea înainte de agregare, altfel comparația aceea nu are loc niciodată.

Valorile de protocol și port fac parte dintr-un selector, nu sunt un plus opțional. Dacă politica originală le restricționa, agregatul trebuie să poarte aceeași restricție, altfel schimbarea este o schimbare de permisiuni îmbrăcată în rutare. Dacă restricția era miezul politicii originale, păstreaz-o explicit după rezumare și spune asta în registru.

Citirea rezultatului pe prefix

După schimbare, uită-te la ce a fost instalat, nu la ce a fost configurat. Apoi generează un flux din fiecare prefix în fiecare direcție și verifică contoarele care aparțin asocierii ce îl tratează. Două prefixe care produc trafic într-o singură asociere sunt în regulă; două prefixe unde unul nu produce nimic sunt constatarea.

Fă asta cu aceeași aplicație pe care o rulează utilizatorii. O sondă pornită pe gateway testează o cale diferită de un client din spatele lui, iar diferența este exact locul unde se ascund erorile de selector. Un contor plat pe un prefix care ar trebui să fie ocupat este o dovadă mai puternică decât orice linie de jurnal, pentru că măsoară absența.

Cum faci schimbarea reversibilă

Păstrează politica originală în configurare până când cea nouă a fost exersată din fiecare combinație de prefixe și notează în ce asociere a ajuns fiecare flux. Dacă o parte înlocuiește asocierile când oferta se schimbă, revenirea trebuie să restaureze oferta veche și nu doar adresele vechi.

Coordonează-te cu proprietarul celuilalt capăt înainte de a deschide fereastra. O rezumare pe care o parte o consideră evidentă poate fi o grupare inacceptabilă pentru cealaltă, iar a afla asta în timpul schimbării este scump. Cădeți de acord în scris asupra grupării oferite, apoi comparați-o cu ce instalează schimbul. Ține acordul în tichetul de schimbare, nu într-un fir de chat care dispare săptămâna viitoare.