Выбар адраснай прасторы VPN па размеркаванні, а не па незаўважнасці

Незвычайны на выгляд прэфікс здаецца выйсцем з канфлікту адрасоў паміж домам і офісам, і звычайна ім не з'яўляецца. Кожны блок у рэестры спецыяльных прызначэнняў IPv4 мае ўладальніка, мэту і прычыну існавання, і пазычанне аднаго з іх толькі таму, што ён выглядае ціхім, пераносіць канфлікт замест таго, каб яго выдаліць. Выконвайце гэта як паслядоўнасць: прачытайце размеркаванне, праінвентарызуйце тое, што ўжо перасякаецца, і толькі потым вырашайце, ці вы перанумяроўваеце, ці перакладаеце, ці ствараеце новую прастору. Парадак важны, бо трэці крок залежыць ад таго, што знайшлі першыя два.

Прачытайце размеркаванне, перш чым пазычыць дыяпазон

Рэестр спецыяльных прызначэнняў IANA аддзяляе дыяпазоны, якія можна паўторна выкарыстоўваць як прыватную прастору, ад дыяпазонаў, што служаць адной канкрэтнай тэхнічнай мэце. Прыватнае выкарыстанне, агульная адрасная прастора, бенчмаркінг і дакументацыйныя блокі выглядаюць у табліцы аднолькава, але пасля маршрутызацыі паводзяць сябе зусім па-рознаму.

Два прэфіксы, якія адрозніваюцца толькі ў другім актэце, не з'яўляюцца адным блокам: 198.18.0.0/15 нясе рэзерваванне для бенчмаркінгу, а 192.18.0.0/16 не нясе нічога падобнага. Лік, які проста нагадвае зарэзерваваны дыяпазон, не атрымлівае яго значэння. Гэтая блытаніна дастаткова распаўсюджаная, каб патрабаваць другога позірку перад тым, як трапіць у правіла міжсеткавага экрана.

Прадукты часам наўмысна выкарыстоўваюць спецыяльны дыяпазон унутры каардынаванага пакрыцця, і гэта іх канструкцыя, якую трэба дакументаваць. Гэта не робіць той жа дыяпазон запасной прасторай для не звязанай лакальнай сеткі. Публічная прастора таксама не сховішча: прыватны маршрут да адраса, які належыць камусьці іншаму, адхіляе трафік, прызначаны яго законнаму атрымальніку.

Праінвентарызуйце перасячэнні, якія ў вас ужо ёсць

Перш чым выбіраць прэфікс, пералічыце ўсе сеткі, якія будуць дасягальныя з тунэля. Сайты, пулы кліентаў, воблачныя VPC і партнёрскія злучэнні ўсе ўлічваюцца, і менавіта партнёрскае злучэнне людзі забываюць, пакуль не праваліцца першая спроба падключэння.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Змясціце вынікі ў адну табліцу з уладальнікам кожнага дыяпазону побач. Дыяпазон, для якога вы не можаце назваць уладальніка, — гэта дыяпазон, які вы не зможаце перанумяраваць пазней, і менавіта інвентарызацыя ператварае спрэчку пра «незвычайныя» прэфіксы ў рашэнне пра канкрэтныя лікі. Яна таксама паказвае, ці канфлікт, якога вы хочаце пазбегнуць, рэальны ці ўяўны.

Калі хатняя сетка аддаленага работніка выкарыстоўвае той жа прэфікс, што і офісная лакальная сетка, гэты канфлікт бачны ў інвентарызацыі і яго можна вырашыць яўна. Гэта не доказ таго, што блок для бенчмаркінгу быў бы разумным выбарам, і стаўленне да яго такім чынам — гэта спосаб стварыць наступнае сутыкненне.

Стварыце ўнікальны ULA замест капіравання прэфікса

IPv6 вырашае праблему паўторнага выкарыстання іншым механізмам, а не больш прыгожым лікам. RFC 4193 вызначае лакальна прызначаныя ўнікальныя лакальныя адрасы з псеўдавыпадковым 40-bit глабальным ідэнтыфікатарам, што дае вам /48 для сайта, які вельмі малаверагодна сутыкнецца з чыімсьці яшчэ. Імавернасць высокая, але не абсалютная, і прэфікс ULA ўсё роўна не дае доступу да інтэрнэту.

openssl rand -hex 5

Дзесяць шаснаццатковых лічбаў — гэта сорак бітаў. Дадайце наперад fd і згрупуйце ў /48: вынік 3f9c1a7b02 становіцца fd3f:9c1a:7b02::/48. Стварыце адзін на кожны сайт і запішыце яго, замест таго каб устаўляць той жа зручны fd00::/48 у кожнае разгортванне.

Затым пераканайцеся, што ўвесь шлях сапраўды гаворыць на IPv6. Кліенты, шлюз, маршруты, прыватны DNS і палітыка сэрвісаў мусяць узгадніцца, і прызначэнне прэфікса тунэлю не прымушае праграму, якая працуе толькі з IPv4, выкарыстоўваць яго.

Сплануйце перасячэнне, якое не можаце прыбраць

Некаторыя перасячэнні вечныя, звычайна таму што партнёр не будзе перанумяроўваць і вы не можаце яго прымусіць. Тады вы свядома выбіраеце падтрымліваемы механізм: перанумяраванне на вашым баку, ізаляваны кантэкст маршрутызацыі або яўны пераклад на мяжы. Свядомы выбар значыць, што вы запішаеце, які з іх абралі і чаму два іншыя адхіленыя. Менавіта гэтую нататку прачытае будучы агляд змен.

Пераклад павінен захоўваць зваротны шлях, што значыць запісваць абедзве — зыходны і прадстаўлены прэфіксы — і супастаўляць іх з прыватнымі DNS-імі, якія ў іх разгортваюцца. Супастаўлены псеўданім можа зрабіць адно злучэнне адназначным; ён не робіць зыходныя адрасы глабальна ўнікальнымі і не вытрымае другога партнёра з перасячэннем без другога супастаўлення.

Запішыце размеркаванне разам з яго выключэннем

Завяршыце дакументам, які пералічвае кожны прэфікс, яго катэгорыю, уладальніка і прычыну выбару. Дадайце выключэнні з правілам перакладу або перанумяравання і дату, калі хтосьці іх ухваліў. Трымайце яго побач з правіламі міжсеткавага экрана, якія яго рэалізуюць, а не ў вікі, якую ніхто не адкрывае падчас інцыдэнту. Дакумент — гэта пастаўка, а не яго пераказ.

Менавіта гэты запіс не дае наступнаму інжынеру шукаць больш дзіўны на выгляд лік, а менавіта так гэтая праблема пераадкрываецца кожныя некалькі гадоў пад новым імем. Ён таксама дае агляду змен нешта канкрэтнае для ўхвалення замест меркавання пра прэфіксы. Напішыце яго адзін раз, у канцы размеркавання, пакуль разважанні яшчэ перад вамі.