Vyberte adresní prostor VPN podle přidělení, ne podle nenápadnosti

Neobvykle vypadající prefix působí jako únik ze střetu adres mezi domovem a kanceláří, a obvykle jím není. Každý blok v registru IPv4 zvláštních účelů má vlastníka, účel a důvod existence a vypůjčení jednoho proto, že vypadá tiše, střet pouze přesune, místo aby ho odstranilo. Proveďte to jako sled kroků: přečtěte přidělení, zmapujte, co se už překrývá, a teprve potom rozhodněte, zda přečíslujete, překládáte, nebo vytváříte nový prostor. Pořadí je důležité, protože třetí krok závisí na tom, co našly první dva.

Přečtěte přidělení, než si rozsah vypůjčíte

Registr zvláštních účelů IANA odděluje rozsahy, které jsou opakovaně použitelným privátním prostorem, od rozsahů, jež slouží jednomu konkrétnímu technickému účelu. Privátní použití, sdílený adresní prostor, srovnávací a dokumentační bloky vypadají v tabulce stejně, ale po zavedení směrování se chovají zcela jinak.

Dva prefixy lišící se jen ve druhém oktetu nejsou stejný blok: 198.18.0.0/15 nese srovnávací rezervaci, zatímco 192.18.0.0/16 nenese nic takového. Číslo, které se rezervovanému rozsahu jen podobá, jeho význam nedědí. Tato záměna je dost častá na to, aby si zasloužila druhý pohled dřív, než se dostane do pravidla firewallu.

Produkty někdy záměrně používají zvláštní rozsah uvnitř koordinovaného překryvu a to je jejich návrh, který je třeba zdokumentovat. Neznamená to, že stejný rozsah je volný prostor pro nesouvisející LAN. Ani veřejný prostor není úkryt: privátní trasa k adrese, která patří někomu jinému, odklání provoz určený jejímu legitimnímu cíli.

Zmapujte překryvy, které už máte

Než vyberete prefix, vypište každou síť, která bude z tunelu dostupná. Lokality, klientské fondy, cloudová VPC a partnerská propojení se všechna počítají a právě partnerské propojení lidé zapomenou, dokud první pokus o připojení neselže.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Dejte výsledky do jedné tabulky s vlastníkem každého rozsahu vedle. Rozsah, ke kterému nedokážete přiřadit vlastníka, je rozsah, který později nedokážete přečíslovat, a právě soupis mění hádku o „neobvyklých“ prefixech v rozhodnutí o konkrétních číslech. Také vám řekne, zda je střet, kterému se snažíte vyhnout, skutečný, nebo předstíraný.

Pokud domácí síť vzdáleného pracovníka používá stejný prefix jako kancelářská LAN, je tento střet v soupisu vidět a lze ho řešit výslovně. Není to důkaz, že srovnávací blok by byl chytrá volba, a právě takový přístup vytváří další kolizi.

Vygenerujte jedinečnou ULA místo kopírování prefixu

IPv6 řeší problém opětovného použití jiným mechanismem, ne hezčím číslem. RFC 4193 definuje lokálně přidělené jedinečné lokální adresy s pseudonáhodným 40-bit globálním identifikátorem, což vám dá /48 pro lokalitu, která se velmi pravděpodobně nestřetne s cizí. Pravděpodobnost je vysoká, ne absolutní, a prefix ULA stále neposkytuje dostupnost internetu.

openssl rand -hex 5

Deset hexadecimálních číslic je čtyřicet bitů. Dejte jim předponu fd a seskupte je do /48: výstup 3f9c1a7b02 se změní na fd3f:9c1a:7b02::/48. Vygenerujte jeden pro každou lokalitu a poznamenejte si ho, místo abyste do každého nasazení vkládali stejný pohodlný fd00::/48.

Potom ověřte, že celá cesta skutečně mluví IPv6. Klienti, brána, trasy, privátní DNS a politika služeb se musí shodnout a přidělení prefixu tunelu nezpůsobí, že ho aplikace pracující jen s IPv4 použije.

Naplánujte překryv, který nemůžete odstranit

Některé překryvy jsou trvalé, obvykle proto, že partner nebude přečíslovat a vy ho nemůžete přinutit. Tehdy vědomě zvolíte podporovaný mechanismus: přečíslování na své straně, izolovaný kontext směrování nebo výslovný překlad na hranici. Vědomá volba znamená zapsat, kterou jste zvolili a proč byly ostatní dvě odmítnuty. Právě tuto poznámku si budoucí revize změn skutečně přečte.

Překlad musí zachovat zpětnou cestu, což znamená zaznamenat původní i prezentovaný prefix a spárovat je s privátními DNS jmény, která se do nich překládají. Namapovaný alias může jediné spojení učinit jednoznačným; původní adresy globálně jedinečnými neudělá a bez druhého mapování nepřežije druhého překrývajícího se partnera.

Zapište přidělení i s jeho výjimkou

Skončete dokumentem, který vypisuje každý prefix, jeho kategorii, vlastníka a důvod volby. Přidejte výjimky s jejich pravidlem překladu nebo přečíslování a datum, kdy je někdo schválil. Uchovávejte ho vedle pravidel firewallu, která ho zavádějí, ne ve wiki, kterou při incidentu nikdo neotevře. Dodávkou je dokument, ne jeho shrnutí.

Právě tento záznam brání dalšímu inženýrovi hledat podivněji vypadající číslo, a takto se tento problém každých pár let znovu objevuje pod novým jménem. Dává také revizi změn něco konkrétního ke schválení místo názoru na prefixy. Napište ho jednou, na konci přidělení, dokud máte odůvodnění ještě před sebou.