Не ўгадвайце прэфікс офіса па адным адрасе сервера

Пачніце з адраса, які вам далі, і супрацьцеся жаданню пашырыць яго да нечага, што выглядае акуратна. Адзін сервер на 10.22.8.19 нічога не кажа пра тое, ці валодае офіс сеткай 10.22.8.0/24, 10.22.0.0/16 ці жменькай разрозненых /28s. Выбар 10.0.0.0/8 толькі таму, што лік пачынаецца з 10, захоплівае хатнія сеткі, дыяпазоны кантэйнераў і партнёрскія злучэнні, якіх вы не мелі на ўвазе. Прэфікс — гэта мяжа, якую трэба атрымаць, а не вывесці.

Даўжыня прэфікса апісвае, колькі старшых бітаў маюць значэнне; яна не апісвае, каму належыць дыяпазон.

Адрас сервера — гэта не сетка

Сервер, падсетка і пляцоўка — тры розныя рэчы. Асобная паслуга можа знаходзіцца ў невялікай выдзеленай падсетцы, тады як рэшта офіса займае асобныя дыяпазоны, і маршрут да хоста можа цалкам падыходзіць для паслугі, якая наўмысна мае адзін адрас. Ён перастае падыходзіць, калі пляцоўка перанакіроўвае на іншы хост, аўтэнтыфікуецца праз асобны сервер або змяняе адрас. Гэтыя залежнасці і ёсць сапраўдная патрэба, і пра іх варта спытаць да ўсталявання любога прэфікса.

Калькулятар падсетак пераўтварае вядомы прэфікс у маску, дыяпазон або спіс хостаў. Ён не можа вывесці арганізацыйную мяжу з аднаго імя хоста, і менавіта стаўленне да яго выніку як да ісціны прыводзіць да таго, што незвязаныя сеткі трапляюць у маршруты.

Запытайце зацверджаныя прэфіксы

Атрымайце мэтавыя дыяпазоны ў таго, хто абслугоўвае VPN або сетку. Могуць быць некалькі асобных прэфіксаў і прыватны DNS-сервер у іншым месцы, пра які часта забываюць, пакуль не пачнуць збаўляцца імёны. Запішыце іх як зацверджаны спіс з уладальнікам і датай, а не як дыяпазон, адноўлены з прыкладу. Калі спіс доўгі, гэта інфармацыя пра сетку, а не запрашэнне звесці яго да чагосьці шырэйшага.

Запыт маршрутаў толькі для чытання на Mac, накіраваны на патрэбны вам пункт прызначэння, паказвае, які шлях выкарыстоўваецца зараз. Гэта бягучае паводзіны, а не дазвол.

Праверце перакрыцці, перш чым нешта ўжываць

Параўнайце зацверджаныя прэфіксы з кожным лакальным дыяпазонам, перш чым ужываць іх: хатняя LAN, масты кантэйнераў, сеткі віртуальных машын і любы іншы VPN. Дакладны маршрут да офіса ўсё роўна не скажа, якую прыладу па гэтым адрасе вы мелі на ўвазе, калі той жа дыяпазон ёсць і лакальна; табліца не мае такога паняцця. Перакрыццё дае сімптомы, падобныя на зламаныя паслугі, а не на памылкі маршрутызацыі, і іх цяжка дыягнаставаць заднім чыслом.

Няхай падтрыманы ўладальнік усталюе прэфіксы — праз уласную канфігурацыю кліента або маршруты, якія прасоўвае сервер, — каб перападключэнне аднаўляла іх, а не спадзявалася на каманду, якую хтосьці набраў аднойчы.

Маршрут — гэта не доступ

Маршрутызацыя прэфікса ў тунель не дае доступу да паслуг унутры яго. Шлюз павінен дазволіць трафік, пункт прызначэння павінен яго прыняць, і павінен існаваць зваротны шлях, і кожнае з гэтага можа адмовіць незалежна ад маршруту. Пасля ўсталявання маршруту праверце адну патрэбную паслугу, затым пераканайцеся, што незвязаны рэсурс па-ранейшаму адхіляецца. Маршрут, які даходзіць да міжсеткавага экрана, не тое самае, што працуючае злучэнне.

Задакументуйце спіс прэфіксаў, праверку перакрыццяў і ўладальніка разам. Калі адрас змяняецца, менавіта гэтыя тры рэчы патрэбны наступнаму чалавеку.

Прэфікс — гэта пагадненне пра межы. Стаўцеся да яго так, і маршрут перастане быць здагадкай.