Odaberite VPN adresni prostor prema alokaciji, a ne prema nejasnoći

Prefiks neobičnog izgleda djeluje kao bijeg od sukoba kućnih i uredskih adresa, a obično to nije. Svaki blok u IPv4 registru posebnih namjena ima vlasnika, svrhu i razlog postojanja, a posuđivanje jednog zato što izgleda tiho premješta sudar umjesto da ga ukloni. Provedite to kao slijed: pročitajte alokaciju, popišite što se već preklapa i tek onda odlučite hoćete li prenumerisati, prevoditi ili stvarati novi prostor. Redoslijed je važan jer treći korak zavisi od onoga što su prva dva pronašla.

Pročitajte alokaciju prije nego što posudite raspon

Registar posebnih namjena IANA razdvaja raspone koji su višekratno upotrebljiv privatni prostor od raspona koji služe jednoj konkretnoj tehničkoj svrsi. Privatna upotreba, zajednički adresni prostor, benchmark i dokumentacijski blokovi izgledaju isto u tabeli, a ponašaju se potpuno drugačije kada se rutiraju.

Dva prefiksa koja se razlikuju samo u drugom oktetu nisu isti blok: 198.18.0.0/15 nosi benchmark rezervaciju, dok 192.18.0.0/16 ne nosi ništa slično. Broj koji samo podsjeća na rezervisani raspon ne nasljeđuje njegovo značenje. Ta zabuna je dovoljno česta da opravdava drugi pogled prije nego što stigne do pravila firewall-a.

Proizvodi ponekad namjerno koriste poseban raspon unutar koordiniranog pokrivača i to je njihov dizajn koji treba dokumentovati. To isti raspon ne čini rezervnim prostorom za nepovezan LAN. Ni javni prostor nije skrovište: privatna ruta do adrese koja pripada nekome drugom preusmjerava saobraćaj namijenjen njegovom zakonitom odredištu.

Popišite preklapanja koja već imate

Prije nego što odaberete prefiks, navedite svaku mrežu koja će biti dostupna iz tunela. Lokacije, klijentski bazeni, oblak VPC-ovi i partnerske veze svi se računaju, a partnerska veza je ona koju ljudi zaborave dok prvi pokušaj povezivanja ne propadne.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Stavite rezultate u jednu tabelu s vlasnikom svakog raspona pored. Raspon za koji ne možete navesti vlasnika je raspon koji kasnije ne možete prenumerisati, a popis je ono što raspravu o „neobičnim“ prefiksima pretvara u odluku o konkretnim brojevima. On vam također kaže je li sukob koji pokušavate izbjeći stvaran ili zamišljen.

Ako kućna mreža udaljenog radnika koristi isti prefiks kao uredski LAN, taj je sukob vidljiv u popisu i može se riješiti izričito. To nije dokaz da bi benchmark blok bio pametan izbor, a takav odnos je način na koji nastaje sljedeći sudar.

Generirajte jedinstveni ULA umjesto kopiranja prefiksa

IPv6 rješava problem ponovne upotrebe drugim mehanizmom, a ne ljepšim brojem. RFC 4193 definira lokalno dodijeljene jedinstvene lokalne adrese s pseudoslučajnim 40-bit globalnim identifikatorom, što vam daje /48 za lokaciju koja se vrlo vjerojatno neće sudariti s ničijom drugom. Vjerojatnost je visoka, ali ne apsolutna, a ULA prefiks i dalje ne pruža internetsku dostupnost.

openssl rand -hex 5

Deset heksadecimalnih znamenki je četrdeset bita. Dodajte im prefiks fd i grupirajte ih u /48: izlaz 3f9c1a7b02 postaje fd3f:9c1a:7b02::/48. Generirajte jedan po lokaciji i zabilježite ga, umjesto da lijepite isti prikladni fd00::/48 u svaku implementaciju.

Zatim potvrdite da cijela putanja doista govori IPv6. Klijenti, pristupnik, rute, privatni DNS i politika usluga moraju se svi složiti, a dodjela prefiksa tunelu ne čini da ga aplikacija samo s IPv4 koristi.

Isplanirajte preklapanje koje ne možete ukloniti

Neka preklapanja su trajna, obično zato što partner neće prenumerisati i vi to ne možete nametnuti. Tada svjesno birate podržani mehanizam: prenumerisanje na vašoj strani, izolirani kontekst rutiranja ili izričiti prijevod na granici. Svjestan odabir znači da zapišete koji ste odabrali i zašto su druga dva odbijena. Ta je bilješka ono što će budući pregled promjena zbilja pročitati.

Prijevod mora sačuvati povratnu putanju, što znači zabilježiti i izvorni i predstavljeni prefiks i uskladiti ih s privatnim DNS imenima koja se u njih razrješavaju. Mapirani alias može jednu vezu učiniti nedvosmislenom; ne čini izvorne adrese globalno jedinstvenima i neće preživjeti drugog partnera s preklapanjem bez drugog mapiranja.

Zapišite alokaciju zajedno s njezinim izuzetkom

Završite dokumentom koji navodi svaki prefiks, njegovu kategoriju, vlasnika i razlog odabira. Dodajte izuzetke s njihovim pravilom prijevoda ili prenumerisanja i datumom kada ih je neko odobrio. Držite ga uz pravila firewall-a koja ga provode, a ne u wikiju koji nitko ne otvara tijekom incidenta. Dokument je isporuka, a ne njegov sažetak.

Taj zapis je ono što sljedećem inženjeru brani da traži čudniji broj, a upravo se tako ovaj problem ponovno otkriva svakih nekoliko godina pod novim imenom. On također daje pregledu promjena nešto konkretno za odobrenje umjesto mišljenja o prefiksima. Napišite ga jednom, na kraju alokacije, dok je obrazloženje još pred vama.