Jedan /23 umesto dva /24: šta se menja u pregovaranju

Dva susedna /24 se uredno stapaju u jedan /23, i ta uredna aritmetika ubeđuje ljude da je promena kozmetička. To je aritmetika o adresama, a tunelu je stalo do selektora, koji su ponuda u pregovorima, a ne opis mreže. Kraća linija može ostaviti isti saobraćaj zaštićenim, zaštititi više nego što je planirano ili ne pokriti ni polovinu, zavisno od toga šta su dve strane spremne da prihvate. Čitanje instaliranog rezultata jedini je način da se zna koji se od ta tri slučaja dogodio.

Tri činjenice koje ljudi spajaju u jednu

Skup adresa kaže koji hostovi treba da budu zaštićeni. Grupisanje kaže kako se te adrese nude: jedan selektor ili više, u jednoj asocijaciji ili više. Pregovoreni rezultat kaže šta su dve strane zaista instalirale, i može biti uži od bilo kog od prva dva.

Zapišite ih odvojeno u evidenciji promene. Jedna linija konfiguracije često skriva tri različita odgovora. Recenzent koji ih ne može razdvojiti ne može ni da odobri promenu.

Šta odgovarač sme da uradi sa vašim agregatom

IKEv2 odgovarač može suziti ponuđeni par selektora na podskup koji je spreman da prihvati i može odbiti ponudu odmah ako ništa prihvatljivo ne postoji. Može i naznačiti da dodatni saobraćaj zahteva drugu asocijaciju umesto da se uklopi u ovu.

Odgovarač koji ništa ne prihvata umesto toga vraća grešku, što barem kaže da je ponuda odbijena, a ne tiho sužena.

To znači da uspešna razmena dokazuje da su se strane složile oko nečega, a ne da su se složile oko svega što ste naveli. Početna poruka o uspehu je polazna tačka za čitanje rezultata, nikada zaključak. Prihvaćeni podskup može biti manji od jednog /24, zbog čega instalirani skup nimalo ne liči na ponudu.

Gde sažetak tiho briše granicu

Dva /24 mogu imati različita servisna pravila: jedan može dozvoljavati samo administrativni protokol, drugi opštu aplikaciju. Selektor koji pokriva obe adrese na IP nivou ne čuva ta pravila, a sažetak premešta granicu u bilo koje filtriranje koje postoji iza tunela. Nabrojte servisna pravila po podmreži pre agregiranja, inače se to poređenje nikada ne dogodi.

Vrednosti protokola i porta deo su selektora, a ne opcionalni dodatak. Ako ih je prvobitna politika ograničavala, agregat mora nositi isto ograničenje, inače je promena promena dozvola u kostimu rutiranja. Ako je ograničenje bilo poenta prvobitne politike, zadržite ga eksplicitno posle sažetka i recite to u evidenciji.

Čitanje rezultata po prefiksu

Posle promene, gledajte u ono što je instalirano, a ne u ono što je konfigurisano. Zatim generišite tok sa svakog prefiksa u svakom smeru i proverite brojače koji pripadaju asocijaciji koja ga obrađuje. Dva prefiksa koja proizvode saobraćaj na jednoj asocijaciji su u redu; dva prefiksa gde jedan ne proizvodi ništa jesu nalaz.

Uradite to istom aplikacijom koju pokreću korisnici. Sonda koja kreće sa gejtveja testira drugačiji put od klijenta iza njega, i razlika je upravo tamo gde se kriju greške selektora. Ravnomern brojač na prefiksu koji bi trebalo da bude zauzet jači je dokaz od bilo koje linije dnevnika, jer meri odsustvo.

Kako promenu učiniti reverzibilnom

Zadržite prvobitnu politiku u konfiguraciji dok nova ne bude isprobana iz svake kombinacije prefiksa, i zabeležite u koju asocijaciju je dospeo svaki tok. Ako strana menja asocijacije kad se ponuda promeni, vraćanje mora obnoviti staru ponudu, a ne samo stare adrese.

Uskladite sa vlasnikom drugog kraja pre otvaranja prozora. Sažetak koji jednoj strani izgleda očigledno može biti neprihvatljivo grupisanje za drugu, a saznati to tokom promene je skupo. Dogovorite ponuđeno grupisanje pismeno, pa ga uporedite sa onim što razmena instalira. Čuvajte taj dogovor u tiketu promene, a ne u niti razgovora koja će nestati sledeće nedelje.