Trieu l'espai d'adreces VPN per assignació, no per obscuritat

Un prefix d'aspecte inusual sembla una via d'escapament del conflicte d'adreces entre casa i oficina, i normalment no ho és. Cada bloc del registre IPv4 d'usos especials té un propietari, un propòsit i una raó per existir, i manllevar-ne un perquè sembla tranquil trasllada la col·lisió en lloc d'eliminar-la. Feu-ho com una seqüència: llegiu l'assignació, inventarieu què ja se solapa i només llavors decidiu si renumereu, traduïu o genereu espai nou. L'ordre importa perquè el tercer pas depèn del que hagin trobat els dos primers.

Llegiu l'assignació abans de manllevar un rang

El registre d'usos especials de la IANA separa els rangs que són espai privat reutilitzable dels rangs que serveixen un propòsit tècnic concret. L'ús privat, l'espai d'adreces compartit, la referència i els blocs de documentació semblen iguals en un full de càlcul i es comporten de manera completament diferent un cop s'encaminen.

Dos prefixos que només difereixen en el segon octet no són el mateix bloc: 198.18.0.0/15 porta la reserva de referència, mentre que 192.18.0.0/16 no porta res de semblant. Un número que només s'assembla a un rang reservat no n'hereta el significat. Aquesta confusió és prou comuna per justificar una segona mirada abans que arribi a una regla de tallafoc.

Els productes de vegades utilitzen deliberadament un rang especial dins d'una superposició coordinada, i aquest és el seu disseny, que cal documentar. Això no converteix el mateix rang en espai lliure per a una LAN no relacionada. L'espai públic tampoc no és un amagatall: una ruta privada cap a una adreça que pertany a algú altre desvia el trànsit destinat a la seva destinació legítima.

Inventarieu els solapaments que ja teniu

Abans de triar un prefix, llisteu totes les xarxes que seran accessibles des del túnel. Els llocs, els pools de clients, les VPC al núvol i els enllaços de socis compten tots, i l'enllaç de soci és el que la gent oblida fins que falla el primer intent de connexió.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Poseu els resultats en una taula amb el propietari de cada rang al costat. Un rang del qual no podeu nomenar el propietari és un rang que no podreu renumerar més endavant, i l'inventari és el que converteix una discussió sobre prefixos «inusuals» en una decisió sobre números concrets. També us diu si el conflicte que intenteu evitar és real o imaginari.

Si la xarxa domèstica d'un treballador remot utilitza el mateix prefix que la LAN de l'oficina, aquest conflicte és visible a l'inventari i es pot gestionar explícitament. No és prova que un bloc de referència seria una elecció enginyosa, i tractar-lo així és com es crea la col·lisió següent.

Genereu una ULA única en lloc de copiar un prefix

IPv6 resol el problema de la reutilització amb un mecanisme diferent en lloc d'un número més bonic. RFC 4193 defineix adreces locals úniques assignades localment amb un identificador global pseudoaleatori de 40-bit, que us dona un /48 de lloc molt poc probable que col·lideixi amb el de ningú altre. La probabilitat és alta, no absoluta, i un prefix ULA encara no ofereix cap abast a internet.

openssl rand -hex 5

Deu dígits hexadecimals són quaranta bits. Poseu-los el prefix fd i agrupeu-los en el /48: una sortida 3f9c1a7b02 es converteix en fd3f:9c1a:7b02::/48. Genereu-ne un per lloc i anoteu-lo, en lloc d'enganxar el mateix fd00::/48 convenient a cada desplegament.

Després confirmeu que tot el camí parla realment IPv6. Els clients, la passarel·la, les rutes, el DNS privat i la política de servei han de coincidir, i assignar un prefix al túnel no fa que una aplicació només IPv4 l'utilitzi.

Planifiqueu el solapament que no podeu eliminar

Alguns solapaments són permanents, normalment perquè un soci no renumerarà i no el podeu obligar. És llavors quan trieu deliberadament un mecanisme suportat: renumeració al vostre costat, un context d'encaminament aïllat o traducció explícita en una frontera. Triar-lo deliberadament vol dir escriure quin heu triat i per què es van rebutjar els altres dos. Aquesta nota és el que una futura revisió de canvis llegirà realment.

La traducció ha de preservar el camí de tornada, cosa que vol dir registrar tant el prefix original com el presentat i aparellar-los amb els noms DNS privats que hi resolen. Un àlies mapat pot fer una connexió inequívoca; no fa que les adreces originals siguin globalment úniques i no sobreviurà a un segon soci solapat sense un segon mapatge.

Escriviu l'assignació amb la seva excepció

Acabeu amb un document que llisti cada prefix, la seva categoria, el seu propietari i la raó per la qual es va triar. Afegiu les excepcions amb la seva regla de traducció o renumeració i la data en què algú les va aprovar. Guardeu-lo al costat de les regles de tallafoc que l'implementen, no en un wiki que ningú obre durant un incident. El document és el lliurable, no un resum.

Aquest registre és el que impedeix que el proper enginyer busqui un número d'aspecte més estrany, que és com aquest problema es redescobreix cada pocs anys sota un nom nou. També dona a una revisió de canvis alguna cosa concreta per aprovar en lloc d'una opinió sobre prefixos. Escriviu-lo una vegada, al final de l'assignació, mentre el raonament encara el teniu davant.