VPN ünvan məkanını görünməzliyə görə deyil, təyinatla seçin
Benchmark, paylaşılan və sənədləşdirmə diapazonlarının hər birinin sahibi və məqsədi var. VPN məkanını reyestrdən seçin, sonra aradan qaldıra bilmədiyiniz üst-üstə düşməni planlayın.
Qeyri-adi görünən prefiks evlə ofis arasındakı ünvan münaqişəsindən qaçış kimi hiss olunur və adətən belə deyil. IPv4 xüsusi təyinatlı reyestrindəki hər blokun sahibi, məqsədi və mövcud olma səbəbi var və sakit göründüyü üçün birini borc götürmək toqquşmanı aradan qaldırmaq əvəzinə yerini dəyişir. Bunu ardıcıllıqla edin: təyinatı oxuyun, artıq üst-üstə düşənləri inventarlaşdırın və yalnız sonra nömrələməni yeniləyəcəyinizə, tərcümə edəcəyinizə yoxsa təzə məkan yaradacağınıza qərar verin. Sıra vacibdir, çünki üçüncü addım ilk ikisinin nə tapdığından asılıdır.
Diapazon borc almazdan əvvəl təyinatı oxuyun
IANA xüsusi təyinatlı reyestri təkrar istifadə edilə bilən özəl məkanı bir konkret texniki məqsədə xidmət edən diapazonlardan ayırır. Özəl istifadə, paylaşılan ünvan məkanı, benchmark və sənədləşdirmə blokları cədvəldə eyni görünür, lakin marşrutlaşdırıldıqdan sonra tamamilə fərqli davranır.
| Range | Category | What it means for a VPN plan |
|---|---|---|
| 172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8 | RFC 1918 private use | Reusable by any network, so remote sites may already use the same numbers |
| 100.64.0.0/10 | Shared address space | Intended for provider-side carrier-grade NAT arrangements, not a second private pool |
| 198.18.0.0/15 | Benchmarking | Reserved for test traffic measurement; not spare production space |
| 203.0.113.0/24, 198.51.100.0/24, 192.0.2.0/24 | Documentation (RFC 5737) | Illustration only; a guide that uses them is not assigning them to you |
| 169.254.0.0/16, 240.0.0.0/4 | Link-local, reserved | Never a routed site subnet, whatever the prefix length suggests |
Yalnız ikinci oktetdə fərqlənən iki prefiks eyni blok deyil: 198.18.0.0/15 benchmark qorunmasını daşıyır, 192.18.0.0/16 isə heç bir belə şey daşımır. Sadəcə qorunan diapazona bənzəyən rəqəm onun mənasını miras almır. Bu qarışıqlıq kifayət qədər geniş yayılıb ki, firewall qaydasına çatmazdan əvvəl ikinci baxış tələb etsin.
Məhsullar bəzən koordinasiyalı örtük daxilində xüsusi diapazonu qəsdən istifadə edir və bu, onların sənədləşdirməli dizaynıdır. Bu, həmin diapazonu əlaqəsiz LAN üçün ehtiyat məkan etmir. İctimai məkan da gizlənmə yeri deyil: başqasına aid ünvana özəl marşrut onun qanuni təyinatına gedən trafiki yayındırır.
Artıq malik olduğunuz üst-üstə düşmələri inventarlaşdırın
Prefiks seçməzdən əvvəl tuneldən əlçatan olacaq hər şəbəkəni siyahıya alın. Saytlar, müştəri hovuzları, bulud VPC-ləri və tərəfdaş bağlantıları hamısı sayılır və insanların ilk qoşulma cəhdi uğursuz olana qədər unutduğu şey məhz tərəfdaş bağlantısıdır.
ip -4 route show table all ip -6 route show ip -br addr ip route get 192.168.1.10
Nəticələri hər diapazonun sahibi ilə bir cədvəldə yerləşdirin. Sahibini adlandıra bilmədiyiniz diapazon sonradan nömrələyə bilməyəcəyiniz diapazondur və inventar «qeyri-adi» prefikslər barədə mübahisəni konkret rəqəmlər barədə qərara çevirən şeydir. O, həm də qaçmağa çalışdığınız münaqişənin real və ya xəyali olduğunu bildirir.
Əgər uzaq işçinin ev şəbəkəsi ofis LAN-ı ilə eyni prefiksi istifadə edirsə, bu münaqişə inventarda görünür və açıq şəkildə həll edilə bilər. Bu, benchmark blokunun ağıllı seçim olacağına dəlil deyil və ona belə yanaşmaq növbəti toqquşmanın yaradılma üsuludur.
Prefiksi kopyalamaq əvəzinə unikal ULA yaradın
IPv6 təkrar istifadə problemini daha gözəl rəqəmlə deyil, fərqli mexanizmlə həll edir. RFC 4193 lokallaşdırılmış unikal lokal ünvanları kvazi-təsadüfi 40-bit qlobal identifikatorla təyin edir və bu sizə başqası ilə toqquşma ehtimalı çox az olan sayt /48-i verir. Ehtimal yüksəkdir, mütləq deyil və ULA prefiksi yenə də internet əlçatanlığı təmin etmir.
openssl rand -hex 5
On onaltılıq rəqəm qırx bitdir. Onları fd ilə başladın və /48 daxilində qruplaşdırın: 3f9c1a7b02 çıxışı fd3f:9c1a:7b02::/48 olur. Hər sayt üçün birini yaradın və qeyd edin, hər yerləşdirmədə eyni rahat fd00::/48-i yapışdırmaq əvəzinə.
Sonra bütün yolun həqiqətən IPv6 danışdığını təsdiqləyin. Müştərilər, şlüz, marşrutlar, özəl DNS və xidmət siyasəti hamısı razılaşmalıdır və prefiksi tunelə təyin etmək yalnız IPv4 ilə işləyən tətbiqin onu istifadə etməsinə səbəb olmur.
Aradan qaldıra bilmədiyiniz üst-üstə düşməni planlayın
Bəzi üst-üstə düşmələr qalıcıdır, adətən tərəfdaş nömrələməni yeniləmədiyi üçün və siz onu məcbur edə bilməzsiniz. O zaman dəstəklənən mexanizmi qəsdən seçirsiniz: öz tərəfinizdə nömrələmənin yenilənməsi, təcrid olunmuş marşrutlaşdırma konteksti və ya sərhəddə açıq tərcümə. Qəsdən seçmək hansını seçdiyinizi və digər ikisinin niyə rədd edildiyini yazmaq deməkdir. Gələcək dəyişiklik baxışının həqiqətən oxuyacağı qeyd budur.
Tərcümə qayıdış yolunu qorumalıdır, yəni həm orijinal, həm də təqdim edilən prefiksi qeyd etməli və onları həmin prefikslərə çevrilən özəl DNS adları ilə uyğunlaşdırmalısınız. Xəritələnmiş ləqəb bir bağlantını birmənalı edə bilər; orijinal ünvanları qlobal unikal etmir və ikinci xəritələmə olmadan ikinci üst-üstə düşən tərəfdaşa tab gətirməyəcək.
Təyinatı istisnası ilə birlikdə yazın
Hər prefiksi, kateqoriyasını, sahibini və seçilmə səbəbini sadalayan sənədlə bitirin. İstisnaları tərcümə və ya nömrələmə qaydası və kiminsə təsdiq tarixi ilə əlavə edin. Onu həyata keçirən firewall qaydalarının yanında saxlayın, insident zamanı heç kimin açmadığı vikidə deyil. Sənəd təhvilin özüdür, onun xülasəsi deyil.
Bu qeyd növbəti mühəndisin daha qəribə görünən rəqəm axtarmasının qarşısını alır və bu problem hər neçə ildən bir yeni ad altında yenidən kəşf edilir. O, həmçinin dəyişiklik baxışına prefikslər barədə rəy əvəzinə təsdiqlənəcək konkret bir şey verir. Onu bir dəfə, təyinatın sonunda, əsaslandırma hələ qarşınızda ikən yazın.