Изберете адресно пространство за VPN по разпределение, а не по незабележимост

Префиксът с необичаен вид изглежда като изход от конфликта между домашни и офис адреси и обикновено не е. Всеки блок в регистъра на IPv4 за специални предназначения има собственик, цел и причина да съществува, а вземането на заем само защото изглежда тих премества сблъсъка, вместо да го премахва. Изпълнете го като последователност: прочетете разпределението, направете опис на това, което вече се припокрива, и едва след това решете дали преномерирате, превеждате или генерирате ново пространство. Редът е важен, защото третата стъпка зависи от това, което са открили първите две.

Прочетете разпределението, преди да заемете диапазон

Регистърът на IANA за специални предназначения разделя диапазоните, които са многократно използваемо частно пространство, от диапазоните, които служат на едно конкретно техническо предназначение. Частното ползване, споделеното адресно пространство, бенчмаркът и документационните блокове изглеждат еднакво в електронна таблица и се държат напълно различно, след като бъдат маршрутизирани.

Два префикса, които се различават само във втория октет, не са един и същ блок: 198.18.0.0/15 носи резервацията за бенчмарк, докато 192.18.0.0/16 не носи нищо подобно. Число, което само наподобява резервиран диапазон, не наследява значението му. Това объркване е достатъчно разпространено, за да оправдае втори поглед, преди да стигне до правило на защитна стена.

Продуктите понякога умишлено използват специален диапазон в рамките на координирано покритие и това е тяхна конструкция, която трябва да се документира. Това не прави същия диапазон резервно пространство за несвързана локална мрежа. Публичното пространство също не е скривалище: частен маршрут към адрес, който принадлежи на някой друг, отклонява трафик, предназначен за законния му получател.

Направете опис на припокриванията, които вече имате

Преди да изберете префикс, изброете всяка мрежа, която ще бъде достъпна от тунела. Сайтовете, клиентските пулове, облачните VPC и партньорските връзки се броят всички, а партньорската връзка е тази, която хората забравят, докато първият опит за свързване не се провали.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Сложете резултатите в една таблица със собственика на всеки диапазон до него. Диапазон, за който не можете да назовете собственик, е диапазон, който не можете да преномерирате по-късно, и именно описът превръща спора за «необичайни» префикси в решение за конкретни числа. Той също ви казва дали конфликтът, който се опитвате да избегнете, е реален или въображаем.

Ако домашната мрежа на отдалечен служител използва същия префикс като офис локалната мрежа, този конфликт е видим в описа и може да бъде решен явно. Това не е доказателство, че блок за бенчмарк би бил умен избор, и точно такова отношение създава следващия сблъсък.

Генерирайте уникален ULA вместо да копирате префикс

IPv6 решава проблема с повторното използване с различен механизъм, а не с по-красиво число. RFC 4193 дефинира локално зададени уникални локални адреси с псевдослучаен 40-bit глобален идентификатор, което ви дава /48 за сайт, който е много малко вероятно да се сблъска с нечий друг. Вероятността е висока, но не абсолютна, и ULA префиксът все още не осигурява достъп до интернет.

openssl rand -hex 5

Десет шестнадесетични цифри са четиридесет бита. Добавете отпред fd и ги групирайте в /48: резултат 3f9c1a7b02 става fd3f:9c1a:7b02::/48. Генерирайте по един за всеки сайт и го запишете, вместо да поставяте същия удобен fd00::/48 във всяко разгръщане.

След това потвърдете, че целият път наистина говори IPv6. Клиентите, шлюзът, маршрутите, частният DNS и политиката за услуги трябва да се съгласуват, а задаването на префикс на тунела не кара приложение, работещо само с IPv4, да го използва.

Планирайте припокриването, което не можете да премахнете

Някои припокривания са постоянни, обикновено защото партньор няма да преномерира и вие не можете да го принудите. Тогава съзнателно избирате поддържан механизъм: преномериране от ваша страна, изолиран маршрутизиращ контекст или явен превод на граница. Съзнателният избор означава да запишете кой сте избрали и защо другите два са отхвърлени. Тази бележка е това, което бъдещ преглед на промени ще прочете наистина.

Преводът трябва да запази обратния път, което означава да запишете както оригиналния, така и представения префикс и да ги съпоставите с частните DNS имена, които се разрешават към тях. Съпоставен псевдоним може да направи една връзка еднозначна; той не прави оригиналните адреси глобално уникални и няма да издържи втори припокриващ се партньор без второ съпоставяне.

Запишете разпределението заедно с изключението му

Завършете с документ, който изброява всеки префикс, категорията му, собственика и причината за избора. Добавете изключенията с правилото им за превод или преномериране и датата, на която някой ги е одобрил. Пазете го до правилата на защитната стена, които го прилагат, а не в уики, което никой не отваря по време на инцидент. Документът е доставката, не негово резюме.

Този запис е това, което спира следващия инженер да търси по-странно изглеждащо число, а точно така този проблем се преоткрива на всеки няколко години под ново име. Той също дава на прегледа на промени нещо конкретно за одобрение вместо мнение за префикси. Напишете го веднъж, в края на разпределението, докато разсъждението е още пред вас.