Једна /23 уместо две /24: шта се мења у преговорима

Две суседне /24 се уредно стапају у једну /23, и та уредна аритметика убеђује људе да је промена козметичка. То је аритметика о адресама, а тунелу је стало до селектора, који су понуда у преговорима, а не опис мреже. Краћа линија може оставити исти саобраћај заштићеним, заштитити више него што је планирано или не покрити ни половину, зависно од тога шта су две стране спремне да прихвате. Читање инсталираног резултата једини је начин да се зна који се од та три случаја догодио.

Три чињенице које људи спајају у једну

Скуп адреса каже који домаћини треба да буду заштићени. Груписање каже како се те адресе нуде: један селектор или више, у једној асоцијацији или више. Преговарани резултат каже шта су две стране заиста инсталирале, и може бити ужи од било ког од прва два.

Запишите их одвојено у евиденцији промене. Једна линија конфигурације често скрива три различита одговора. Рецензент који их не може раздвојити не може ни да одобри промену.

Шта одговарач сме да уради са вашим агрегатом

IKEv2 одговарач може сузити понуђени пар селектора на подскуп који је спреман да прихвати и може одбити понуду одмах ако ништа прихватљиво не постоји. Може и назначити да додатни саобраћај захтева другу асоцијацију уместо да се уклопи у ову.

Одговарач који ништа не прихвата уместо тога враћа грешку, што барем каже да је понуда одбијена, а не тихо сужена.

То значи да успешна размена доказује да су се стране сложиле око нечега, а не да су се сложиле око свега што сте навели. Почетна порука о успеху је полазна тачка за читање резултата, никада закључак. Прихваћени подскуп може бити мањи од једне /24, због чега инсталирани скуп нимало не личи на понуду.

Где сажетак тихо брише границу

Две /24 могу имати различита сервисна правила: једна може дозвољавати само административни протокол, друга општу апликацију. Селектор који покрива обе адресе на IP нивоу не чува та правила, а сажетак премешта границу у било које филтрирање које постоји иза тунела. Набројте сервисна правила по подмрежи пре агрегирања, иначе се то поређење никада не догоди.

Вредности протокола и порта део су селектора, а не опциони додатак. Ако их је првобитна политика ограничавала, агрегат мора носити исто ограничење, иначе је промена промена дозвола у костиму рутирања. Ако је ограничење било поента првобитне политике, задржите га експлицитно после сажетка и напишите то у евиденцији.

Читање резултата по префиксу

После промене, гледајте у оно што је инсталирано, а не у оно што је конфигурисано. Затим генеришите ток са сваког префикса у сваком смеру и проверите бројаче који припадају асоцијацији која га обрађује. Два префикса која производе саобраћај на једној асоцијацији су у реду; два префикса где један не производи ништа јесу налаз.

Урадите то истом апликацијом коју покрећу корисници. Сонда која креће са гејтвеја тестира другачији пут од клијента иза њега, и разлика је управо тамо где се крију грешке селектора. Равномеран бројач на префиксу који би требало да буде заузет јачи је доказ од било које линије дневника, јер мери одсуство.

Како промену учинити реверзибилном

Задржите првобитну политику у конфигурацији док нова не буде испробана из сваке комбинације префикса, и забележите у коју асоцијацију је доспео сваки ток. Ако страна мења асоцијације кад се понуда промени, враћање мора обновити стару понуду, а не само старе адресе.

Ускладите са власником другог краја пре отварања прозора. Сажетак који једној страни изгледа очигледно може бити неприхватљиво груписање за другу, а сазнати то током промене је скупо. Договорите понуђено груписање писмено, па га упоредите са оним што размена инсталира. Чувајте тај договор у тикету промене, а не у нити разговора која ће нестати следеће недеље.