Nehádejte kancelářský prefix z jedné adresy serveru

Začněte adresou, kterou jste dostali, a pak se vzepřete nutkání rozšířit ji na něco, co vypadá uklizeně. Jeden server na 10.22.8.19 nic neříká o tom, zda kancelář vlastní 10.22.8.0/24, 10.22.0.0/16 nebo hrst roztroušených /28s. Volba 10.0.0.0/8 proto, že číslo začíná na 10, zachytí domácí sítě, rozsahy kontejnerů a partnerská propojení, která jste nezamýšleli. Prefix je hranice, kterou je třeba získat, ne odvodit.

Délka prefixu popisuje, kolik úvodních bitů je významných; nepopisuje, kdo rozsah vlastní.

Adresa serveru není síť

Server, podsíť a lokalita jsou tři různé věci. Jedna služba může sedět v malé vyhrazené podsíti, zatímco zbytek kanceláře zaujímá samostatné rozsahy, a hostitelská trasa může být zcela vhodná pro službu, která má záměrně jedinou adresu. Přestává být vhodná, když lokalita přesměruje na jiného hostitele, ověřuje se přes samostatný server nebo změní adresu. Tyto závislosti jsou skutečný požadavek a stojí za to se na ně zeptat dřív, než se nainstaluje jakýkoli prefix.

Kalkulačka podsítí převádí známý prefix na masku, rozsah nebo seznam hostitelů. Nedokáže z jednoho jména hostitele odvodit organizační hranici a právě považování jejího výstupu za autoritu vede k tomu, že nesouvisející sítě skončí v trasách.

Vyžádejte si schválené prefixy

Získejte cílové rozsahy od toho, kdo provozuje VPN nebo síť. Může existovat několik odlišných prefixů a privátní DNS server na jiném místě, na který se často zapomíná, dokud jména nepřestanou fungovat. Zapište je jako schválený seznam s vlastníkem a datem, ne jako rozsah zrekonstruovaný z příkladu. Je-li seznam dlouhý, je to informace o síti, ne pozvánka shrnout ho do něčeho širšího.

Vyhledání tras pouze pro čtení na Macu, zaměřené na cíl, který vás zajímá, ukáže, která cesta se právě používá. To je současné chování, ne oprávnění.

Před nasazením čehokoli zkontrolujte překryv

Porovnejte schválené prefixy s každým místním rozsahem, než je použijete: domácí LAN, mosty kontejnerů, sítě virtuálních strojů a jakoukoli další VPN. Přesná trasa do kanceláře vám stále neřekne, které zařízení na této adrese jste měli na mysli, když stejný rozsah existuje i lokálně; tabulka takový pojem nemá. Překryv vyvolává příznaky, které vypadají spíš jako rozbité služby než chyby směrování, a je těžké je dodatečně diagnostikovat.

Nechte podporovaného vlastníka nainstalovat prefixy, přes vlastní konfiguraci klienta nebo trasy vnucené serverem, aby je opětovné připojení obnovilo, místo aby se spoléhalo na příkaz, který někdo jednou napsal.

Trasa není přístup

Směrování prefixu do tunelu neuděluje přístup ke službám uvnitř. Brána musí provoz povolit, cíl jej musí přijmout a musí existovat zpáteční cesta, a každé z toho může selhat nezávisle na trase. Po zavedení trasy otestujte jednu zamýšlenou službu a poté ověřte, že nesouvisející zdroj je stále odmítán. Trasa, která dosáhne firewallu, není totéž jako fungující spojení.

Zdokumentujte seznam prefixů, kontrolu překryvu a vlastníka společně. Když se adresa změní, právě tyto tři věci další člověk potřebuje.

Prefix je dohoda o hranicích. Chovejte se k němu tak a trasa přestane být hádankou.