Wat behoort ’n VPN-uitgangadresregister werklik te registreer?
’n Uitgangregister is net nuttig as elke inskrywing sy betekenis, sy uitgewer en sy vervaldatum noem. Klassifikasie is nie identifikasie van intekenare nie.
Uitgangregisters klink na lyste, en die lys is nie die moeilike deel nie. Die moeilike deel is om te besluit wat elke inskrywing beweer, wie dit mag publiseer, en wat gebeur wanneer die bewering nie meer waar is nie. Drie verskillende adresrolle word in hierdie voorstelle verwar, en ’n register wat hulle meng, kan geen vraag betroubaar beantwoord nie. Volg een inskrywing van publikasie tot onttrekking, en die ontwerpvereistes verskyn vanself.
Begin by die rekord, nie by die lys nie
Die eerste vraag is nie hoeveel adresse om in te sluit nie, maar wat ’n enkele ry beteken. Beskryf dit waar kliënte verbind, watter bron ’n bestemming mag sien, of wie ’n toekenning in ’n register hou? Dit is drie bewerings met drie eienaars en drie foutmodusse. ’n Register wat nie sê watter een dit opteken nie, kan nie gevalideer, gekorrigeer of laat verstryk word nie. Om die betekenis reg te kry, is die ontwerpwerk, en die lys is net die uitset.
Skryf die rydefinisie voordat jy enige skema skryf. As die definisie die woord en nodig het, is dit waarskynlik twee rekords wat voorgee om een te wees.
Drie adresrolle wat dieselfde lyk
Die rolle is maklik om te verwar omdat een ontplooiing al drie gelyktydig kan gebruik, en dikwels doen. ’n Diens kan verbindings by een adres beëindig en verkeer van ’n ander adres aanstuur, terwyl ’n register heeltemal ’n derde feit opteken.
| Address role | Who may publish | What it does not prove | Withdrawal trigger |
|---|---|---|---|
| Forwarded exit | The operator that forwards the traffic, or a feed it authorizes | That a subscriber is behind the address, or that all its traffic is tunnelled | The address stops forwarding for that operator, or the prefix is reassigned |
| Registered allocation | The registry, or the holder of the allocation | That the resource is used as a VPN exit, or which application uses it | The allocation is returned, transferred, or the holder changes |
| Tunnel entry | The operator that terminates the tunnel | That traffic exits from the same address, or that the client is a subscriber | The endpoint is decommissioned or its address changes |
’n Gasheerblok kan VPN-uitgange en onverwante werkladings langs mekaar bevat, so ’n registertreffer sê niks oor wat ’n gegewe adres op ’n gegewe oomblik doen nie. ’n Inskrywing wat nie sy rol noem nie, is nie bewyse van enigiets besonders nie. Die rol noem is wat die rekord weerlegbaar maak. Noem ook die adresfamilie, want ’n register wat stilweg net IPv4 dek, sal elkeen mislei wat anders aanneem.
Volg een inskrywing van publikasie tot onttrekking
Neem ’n enkele hipotetiese uitgang en volg dit. ’n Operateur publiseer die voorvoegsel en sy rol op ’n genoemde effektiewe tyd, verbruikers haal dit, en later hou die adres op om as ’n uitgang te dien. Elke stap het ’n reël nodig: wie mag publiseer, wat die voorvoegsel werklik dek, wanneer die inskrywing in werking tree, en hoe dit onttrek word. ’n Voer sonder ’n onttrekkingspad versamel verouderde bewerings wat niemand van huidiges kan onderskei nie.
Skei die gesag om te publiseer van die akkuraatheid van die etiket. ’n Registerrekord wat ’n organisasie aan ’n hulpbron koppel, bewys die toekenning en nie die huidige gebruik nie, en dit is verskillende bewerings met verskillende bewyse. Verbruikers moet weet watter van die twee hulle vertrou.
Definieer ook regstelling. ’n Adres wat aan ’n kliënt hertoegewys is, of ’n onverwante diens wat deur ’n verkeerde etiket gevang is, het ’n gedokumenteerde pad na ’n oplossing nodig eerder as ’n argument in ’n kaartjiery. Die onttrekkingssneller hoort in dieselfde dokument as die publikasiereël.
Wat ’n gepubliseerde voer kan en nie kan ondersteun nie
Gepubliseerde voorvoegselkenmerke is ’n gevestigde patroon, en die bestaande voorbeelde beskryf geografie of eienaarskap eerder as gedrag. ’n VPN-voer sou sy eie semantiek, sy eie bewysreëls en sy eie hersieningsproses nodig hê, en die hernoeming van ’n landlys lewer niks daarvan nie. Die ARIN-registergids wys wat toekenningsrekords wel en nie beweer nie, en ’n nuwe voer moet dieselfde duidelikheid oor sy eie bewerings verdien. Dit is ’n spesifikasietaak, nie ’n heretiketteringstaak nie.
Wat so ’n voer kan ondersteun, is ’n klassifikasiebeslissing oor ’n netwerkbron. Wat dit nie kan doen nie, is ’n persoon agter ’n gedeelde adres identifiseer, bewys dat alle verkeer van daardie adres getonnel is, of besluit of ’n bepaalde versoek misbruiklik is. Dit is drie afsonderlike vrae met drie afsonderlike bewysvereistes.
Hou die regsvraag buite die spesifikasie
’n Tegniese spesifikasie kan nie beslis of ’n voorgestelde registrasievereiste wettig, eweredig of verstandig is nie. Daardie beoordeling het die werklike wetgewingsteks, die geraakte regte, die jurisdiksie en ’n regsanalise nodig wat ’n dataformaat nie kan verskaf nie. ’n Formaat kan goed ontwerp wees en steeds ’n slegte beleid ondersteun.
Wat die spesifikasie wel kan doen, is die debat konkreet maak. Definieer eers die voorgestelde data, sy grense en sy foutmodusse, sodat die beleidsargument oor ’n werklike meganisme gaan eerder as oor ’n ongedefinieerde lys wat elke deelnemer anders verbeel. Dit is die meeste wat ’n tegniese dokument tot ’n regsvraag kan bydra.