Raten Sie das Büro-Präfix nicht aus einer einzigen Serveradresse

Beginnen Sie mit der Adresse, die Sie bekommen haben, und widerstehen Sie dann dem Drang, sie zu etwas auszuweiten, das aufgeräumt wirkt. Ein Server unter 10.22.8.19 sagt nichts darüber aus, ob das Büro 10.22.8.0/24, 10.22.0.0/16 oder eine Handvoll verstreuter /28s besitzt. 10.0.0.0/8 zu wählen, weil die Zahl mit 10 beginnt, erfasst Heimnetze, Container-Bereiche und Partnerverbindungen, die Sie nicht gemeint haben. Das Präfix ist eine Grenze, die beschafft wird, nicht eine, die abgeleitet wird.

Eine Präfixlänge beschreibt, wie viele führende Bits signifikant sind; sie beschreibt nicht, wem der Bereich gehört.

Eine Serveradresse ist kein Netz

Ein Server, ein Subnetz und ein Standort sind drei verschiedene Dinge. Ein einzelner Dienst kann in einem kleinen dedizierten Subnetz sitzen, während der Rest des Büros separate Bereiche belegt, und eine Host-Route kann für einen Dienst mit bewusst nur einer Adresse völlig angemessen sein. Sie ist nicht mehr angemessen, wenn der Standort auf einen anderen Host umleitet, sich über einen separaten Server authentifiziert oder die Adresse wechselt. Diese Abhängigkeiten sind die eigentliche Anforderung, und danach zu fragen lohnt sich, bevor irgendein Präfix installiert wird.

Ein Subnetzrechner übersetzt ein bekanntes Präfix in eine Maske, einen Bereich oder eine Host-Liste. Er kann aus einem einzigen Hostnamen keine organisatorische Grenze ableiten, und seine Ausgabe als Autorität zu behandeln, ist der Weg, auf dem unzusammenhängende Netze geroutet werden.

Fragen Sie nach den genehmigten Präfixen

Holen Sie die Zielbereiche bei demjenigen ein, der das VPN oder das Netz betreibt. Es kann mehrere unterschiedliche Präfixe und einen privat gelegenen DNS-Server geben, der oft vergessen wird, bis Namen versagen. Halten Sie sie als genehmigte Liste mit Eigentümer und Datum fest, nicht als einen aus einem Beispiel rekonstruierten Bereich. Ist die Liste lang, ist das eine Information über das Netz und keine Einladung, sie zu etwas Breiterem zusammenzufassen.

Eine schreibgeschützte Routenabfrage auf dem Mac, gerichtet auf das Ziel, das Sie interessiert, zeigt, welcher Pfad gerade benutzt wird. Das ist aktuelles Verhalten, keine Berechtigung.

Prüfen Sie Überlappungen, bevor Sie etwas anwenden

Vergleichen Sie die genehmigten Präfixe mit jedem lokalen Bereich, bevor Sie sie anwenden: Heim-LAN, Container-Bridges, Netze virtueller Maschinen und jedes andere VPN. Eine präzise Route ins Büro kann Ihnen noch immer nicht sagen, welches Gerät an dieser Adresse Sie gemeint haben, wenn derselbe Bereich auch lokal existiert; die Tabelle kennt kein solches Konzept. Überlappungen erzeugen Symptome, die eher wie defekte Dienste als wie Routingfehler aussehen, und sie sind im Nachhinein schwer zu diagnostizieren.

Lassen Sie den unterstützten Eigentümer die Präfixe installieren, über die eigene Konfiguration des Clients oder die vom Server vorgegebenen Routen, damit ein erneutes Verbinden sie wiederherstellt, statt sich auf einen Befehl zu verlassen, den jemand einmal getippt hat.

Eine Route ist kein Zugriff

Ein Präfix in den Tunnel zu routen gewährt keinen Zugriff auf die Dienste darin. Das Gateway muss den Verkehr zulassen, das Ziel muss ihn annehmen, und es muss ein Rückweg existieren, und jedes davon kann unabhängig von der Route fehlschlagen. Testen Sie einen beabsichtigten Dienst, nachdem die Route eingerichtet ist, und bestätigen Sie dann, dass eine unabhängige Ressource weiterhin abgewiesen wird. Eine Route, die eine Firewall erreicht, ist nicht dasselbe wie eine funktionierende Verbindung.

Dokumentieren Sie Präfixliste, Überlappungsprüfung und Eigentümer zusammen. Wenn sich eine Adresse ändert, sind diese drei das, was die nächste Person braucht.

Das Präfix ist eine Vereinbarung über Grenzen. Behandeln Sie es so, und die Route hört auf, eine Vermutung zu sein.