Jedna /23 namiesto dvoch /24: čo sa mení v rokovaní

Dve susedné /24 sa hladko zlejú do jednej /23, a tá úhľadná aritmetika presvedčí ľudí, že zmena je kozmetická. Je to aritmetika o adresách, a tunel sa stará o selektory, ktoré sú ponukou v rokovaní, nie opisom siete. Kratší riadok môže nechať ten istý prenos chránený, chrániť viac, než sa zamýšľalo, alebo nepokryť ani polovicu, podľa toho, čo sú obe strany ochotné prijať. Prečítať si nainštalovaný výsledok je jediný spôsob, ako zistiť, ktorý z tých troch prípadov nastal.

Tri fakty, ktoré ľudia zlievajú do jedného

Množina adries hovorí, ktoré hosty majú byť chránené. Zoskupenie hovorí, ako sa tieto adresy ponúkajú: jeden selektor alebo viac, v jednom združení alebo vo viacerých. Dohodnutý výsledok hovorí, čo obe strany skutočne nainštalovali, a môže byť užší než ktorýkoľvek z prvých dvoch.

Napíšte ich oddelene do záznamu o zmene. Jeden riadok konfigurácie často skrýva tri rôzne odpovede. Recenzent, ktorý ich nedokáže oddeliť, nemôže schváliť ani zmenu.

Čo smie respondent urobiť s vaším agregátom

Respondent IKEv2 môže zúžiť ponúknutú dvojicu selektorov na podmnožinu, ktorú je ochotný prijať, a môže ponuku rovno odmietnuť, ak neexistuje nič prijateľné. Môže tiež naznačiť, že dodatočný prenos potrebuje iné združenie, namiesto toho, aby sa vmestil do tohto.

Respondent, ktorý nič neprijme, namiesto toho vráti chybu, čo aspoň hovorí, že ponuka bola odmietnutá, a nie potichu zúžená.

To znamená, že úspešná výmena dokazuje, že strany sa na niečom zhodli, nie že sa zhodli na všetkom, čo ste uviedli. Úvodná správa o úspechu je východiskom na čítanie výsledku, nikdy nie záverom. Prijatá podmnožina môže byť menšia ako jedna /24, preto nainštalovaná množina vôbec nevyzerá ako ponuka.

Kde zhrnutie potichu zmaže hranicu

Dve /24 môžu mať odlišné pravidlá služieb: jedna môže povoliť iba riadiaci protokol, druhá všeobecnú aplikáciu. Selektor, ktorý pokrýva obe adresy na úrovni IP, tieto pravidlá nezachová, a zhrnutie presunie hranicu do akéhokoľvek filtrovania, ktoré existuje za tunelom. Vypíšte pravidlá služieb pre každú podsiete pred agregáciou, inak sa to porovnanie nikdy neuskutoční.

Hodnoty protokolu a portu sú súčasťou selektora, nie voliteľným doplnkom. Ak ich pôvodná politika obmedzovala, agregát musí niesť to isté obmedzenie, inak je zmena zmenou povolení v kostýme smerovania. Ak bolo obmedzenie podstatou pôvodnej politiky, ponechajte ho explicitne po zhrnutí a napíšte to do záznamu.

Čítanie výsledku podľa prefixu

Po zmene sa pozerajte na to, čo je nainštalované, a nie na to, čo je nakonfigurované. Potom vygenerujte tok z každého prefixu v každom smere a skontrolujte počítadlá, ktoré patria združeniu, ktoré ho obsluhuje. Dva prefixy, ktoré vytvárajú prenos v jednom združení, sú v poriadku; dva prefixy, kde jeden nevytvára nič, sú nálezom.

Robte to tou istou aplikáciou, ktorú spúšťajú používatelia. Sonda spustená na bráne testuje inú cestu než klient za ňou, a rozdiel je presne tam, kde sa skrývajú chyby selektorov. Ploché počítadlo na prefixe, ktorý by mal byť vyťažený, je silnejší dôkaz než ktorýkoľvek riadok logu, pretože meria neprítomnosť.

Ako urobiť zmenu vratnou

Ponechajte pôvodnú politiku v konfigurácii, kým nová nebude vyskúšaná zo všetkých kombinácií prefixov, a poznamenajte, do ktorého združenia sa dostal každý tok. Ak strana nahrádza združenia pri zmene ponuky, vrátenie musí obnoviť starú ponuku, a nie iba staré adresy.

Zosúlaďte sa s vlastníkom druhého konca pred otvorením okna. Zhrnutie, ktoré jedna strana považuje za samozrejmé, môže byť pre druhú neprijateľné zoskupenie, a zistiť to počas zmeny je drahé. Dohodnite ponúkané zoskupenie písomne a potom ho porovnajte s tým, čo výmena nainštaluje. Uchovajte tú dohodu v tikete zmeny, nie vo vlákne chatu, ktoré budúci týždeň zmizne.