Kies VPN-adresruimte volgens toewysing, nie volgens onopsigtelikheid nie

'n Voorvoegsel wat ongewoon lyk, voel soos 'n ontsnapping uit die tuis-versus-kantoor-adreskonflik, en dit is gewoonlik nie. Elke blok in die IPv4-register vir spesiale doeleindes het 'n eienaar, 'n doel en 'n rede waarom dit bestaan, en om een te leen omdat dit stil lyk, verskuif die botsing in plaas van om dit te verwyder. Voer dit as 'n reeks uit: lees die toewysing, inventariseer wat reeds oorvleuel, en besluit eers dan of jy hernommer, vertaal of vars ruimte genereer. Die volgorde maak saak, want die derde stap hang af van wat die eerste twee gevind het.

Lees die toewysing voordat jy 'n reeks leen

Die IANA-register vir spesiale doeleindes skei reekse wat hergebruikbare private ruimte is van reekse wat een spesifieke tegniese doel dien. Privaat gebruik, gedeelde adresruimte, benchmark en dokumentasieblokke lyk in 'n sigblad dieselfde en gedra hulle heeltemal anders sodra dit gerouteer word.

Twee voorvoegsels wat slegs in die tweede oktet verskil, is nie dieselfde blok nie: 198.18.0.0/15 dra die benchmark-voorbehoud, terwyl 192.18.0.0/16 niks van die aard dra nie. 'n Getal wat bloot aan 'n gereserveerde reeks herinner, erf nie die betekenis daarvan nie. Hierdie verwarring is algemeen genoeg om 'n tweede kyk te regverdig voordat dit 'n firewall-reël bereik.

Produkte gebruik soms doelbewus 'n spesiale reeks binne 'n gekoördineerde oorleg, en dit is hulle ontwerp om te dokumenteer. Dit maak nie dieselfde reeks oorbodige ruimte vir 'n onverwante LAN nie. Openbare ruimte is ook nie 'n skuilplek nie: 'n private roete na 'n adres wat aan iemand anders behoort, lei verkeer weg wat vir die wettige bestemming bedoel is.

Inventariseer die oorvleuelings wat jy reeds het

Voordat jy 'n voorvoegsel kies, lys elke netwerk wat vanaf die tonnel bereikbaar sal wees. Terreine, kliëntpoele, wolke-VPC's en vennootskakels tel almal, en die vennootskakel is die een wat mense vergeet totdat die eerste verbindingspoging misluk.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Plaas die resultate in een tabel met die eienaar van elke reeks daarlangs. 'n Reeks waarvoor jy nie 'n eienaar kan noem nie, is 'n reeks wat jy later nie kan hernommer nie, en die inventaris is wat 'n argument oor “onopsigtelike” voorvoegsels in 'n besluit oor spesifieke getalle verander. Dit sê ook vir jou of die konflik wat jy probeer vermy, werklik of denkbeeldig is.

As 'n afgeleë werker se tuisnetwerk dieselfde voorvoegsel as die kantoor-LAN gebruik, is daardie konflik in die inventaris sigbaar en kan dit eksplisiet hanteer word. Dit is nie bewys dat 'n benchmark-blok 'n slim keuse sou wees nie, en om dit so te behandel, is hoe die volgende botsing geskep word.

Genereer 'n unieke ULA in plaas van om 'n voorvoegsel te kopieer

IPv6 los die hergebruikprobleem op met 'n ander meganisme eerder as met 'n mooier getal. RFC 4193 definieer plaaslik toegewysde unieke lokale adresse met 'n pseudo-ewekansige 40-bit globale identifiseerder, wat jou 'n werf-/48 gee wat baie onwaarskynlik met enigiemand anders s'n sal bots. Die waarskynlikheid is hoog, nie absoluut nie, en 'n ULA-voorvoegsel bied steeds geen internetbereikbaarheid nie.

openssl rand -hex 5

Tien heksadesimale syfers is veertig bis. Voorafgegaan deur fd en in die /48 gegroepeer: 'n uitvoer van 3f9c1a7b02 word fd3f:9c1a:7b02::/48. Genereer een per werf en teken dit aan, in plaas daarvan om dieselfde gerieflike fd00::/48 in elke ontplooiing te plak.

Bevestig dan dat die hele pad werklik IPv6 praat. Kliënte, gateway, roetes, private DNS en diensbeleid moet almal saamstem, en om 'n voorvoegsel aan die tonnel toe te wys, maak nie dat 'n slegs-IPv4-toepassing dit gebruik nie.

Beplan die oorvleueling wat jy nie kan verwyder nie

Sommige oorvleuelings is permanent, gewoonlik omdat 'n vennoot nie sal hernommer nie en jy hulle nie kan dwing nie. Dis wanneer jy doelbewus 'n ondersteunde meganisme kies: hernommering aan jou kant, 'n geïsoleerde roeteringskonteks, of eksplisiete vertaling by 'n grens. Om dit doelbewus te kies, beteken om neer te skryf watter een jy gekies het en waarom die ander twee verwerp is. Daardie nota is wat 'n toekomstige wysigingshersiening werklik sal lees.

Vertaling moet die terugpad bewaar, wat beteken dat jy beide die oorspronklike en die aangebode voorvoegsel aanteken en dit pas by die private DNS-name wat daarin oplos. 'n Gekarteerde alias kan een verbinding ondubbelsinnig maak; dit maak nie die oorspronklike adresse wêreldwyd uniek nie, en dit sal nie 'n tweede oorvleuelende vennoot oorleef sonder 'n tweede kartering nie.

Skryf die toewysing neer saam met sy uitsondering

Sluit af met 'n dokument wat elke voorvoegsel, sy kategorie, sy eienaar en die rede vir die keuse lys. Voeg die uitsonderings by met hul vertalings- of hernommeringsreël, en die datum waarop iemand dit goedgekeur het. Hou dit langs die firewall-reëls wat dit implementeer eerder as in 'n wiki wat niemand tydens 'n voorval oopmaak nie. Die dokument is die lewering, nie 'n opsomming daarvan nie.

Daardie rekord is wat die volgende ingenieur keer om na 'n vreemder-lykende getal te soek, wat is hoe hierdie probleem elke paar jaar onder 'n nuwe naam herontdek word. Dit gee ook 'n wysigingshersiening iets konkreets om goed te keur in plaas van 'n mening oor voorvoegsels. Skryf dit een keer, aan die einde van die toewysing, terwyl die redenasie nog voor jou is.