Одна /23 вместо двух /24: что меняется в переговорах

Два соседних /24 аккуратно сливаются в одну /23, и эта аккуратная арифметика убеждает людей, что изменение косметическое. Это арифметика адресов, а туннелю важны селекторы, которые являются предложением на переговорах, а не описанием сети. Более короткая строка может оставить тот же трафик защищённым, защитить больше задуманного или не покрыть половину, в зависимости от того, что обе стороны готовы принять. Прочитать установленный результат это единственный способ узнать, какой из этих трёх случаев произошёл.

Три факта, которые люди сливают в один

Набор адресов говорит, какие хосты должны быть защищены. Группировка говорит, как эти адреса предлагаются: один селектор или несколько, в одной ассоциации или в нескольких. Согласованный результат говорит, что обе стороны действительно установили, и он может быть уже любого из первых двух.

Запишите их отдельно в журнале изменений. Одна строка конфигурации часто скрывает три разных ответа. Рецензент, который не может их разделить, не может и одобрить изменение.

Что ответчик вправе делать с вашей агрегацией

Ответчик IKEv2 может сузить предложенную пару селекторов до подмножества, которое готов принять, и может вовсе отклонить предложение, если ничего приемлемого не существует. Он также может указать, что дополнительному трафику нужна другая ассоциация, а не место в этой.

Ответчик, который ничего не принимает, вместо этого возвращает ошибку, и это по крайней мере говорит, что предложение отклонено, а не тихо сужено.

Это значит, что успешный обмен доказывает, что стороны договорились о чём-то, а не о всём, что вы перечислили. Первое сообщение об успехе это отправная точка для чтения результата, но никогда не вывод. Принятое подмножество может быть меньше одной /24, из-за чего установленный набор совсем не похож на предложение.

Где сводка тихо стирает границу

Две /24 могут иметь разные правила обслуживания: одна может разрешать только протокол управления, другая общее приложение. Селектор, охватывающий оба адреса на уровне IP, эти правила не сохраняет, а сводка переносит границу в любую фильтрацию, которая есть за туннелем. Перечислите правила обслуживания по каждой подсети до агрегирования, иначе это сравнение никогда не состоится.

Значения протокола и порта это часть селектора, а не необязательное дополнение. Если исходная политика их ограничивала, агрегат должен нести то же ограничение, иначе изменение это смена разрешений в костюме маршрутизации. Если ограничение было сутью исходной политики, оставьте его явным после сводки и напишите об этом в журнале.

Чтение результата по префиксам

После изменения смотрите на то, что установлено, а не на то, что настроено. Затем сгенерируйте поток с каждого префикса в каждом направлении и проверьте счётчики, относящиеся к ассоциации, которая его обслуживает. Два префикса, дающие трафик на одной ассоциации, это нормально; два префикса, где один не даёт ничего, это и есть находка.

Делайте это тем же приложением, которое запускают пользователи. Зонд, запущенный на шлюзе, проверяет другой путь, чем клиент за ним, и разница как раз там, где прячутся ошибки селекторов. Ровный счётчик на префиксе, который должен быть занят, более сильное доказательство, чем любая строка журнала, потому что он измеряет отсутствие.

Как сделать изменение обратимым

Оставляйте исходную политику в конфигурации, пока новая не будет проверена со всех комбинаций префиксов, и отметьте, в какую ассоциацию попал каждый поток. Если сторона заменяет ассоциации при изменении предложения, откат должен восстановить старое предложение, а не только старые адреса.

Согласуйте с владельцем другого конца до открытия окна. Сводка, которая одной стороне кажется очевидной, для другой может быть неприемлемой группировкой, и выяснять это во время изменения дорого. Договоритесь о предлагаемой группировке письменно, затем сравните её с тем, что устанавливает обмен. Держите это соглашение в заявке на изменение, а не в ветке чата, которая исчезнет на следующей неделе.