VPN-Adressraum nach Zuteilung wählen, nicht nach Verschleierung

Ein ungewöhnlich aussehendes Präfix wirkt wie ein Ausweg aus dem Adresskonflikt zwischen Zuhause und Büro, und meistens ist es keiner. Jeder Block im IPv4-Register für besondere Zwecke hat einen Eigentümer, einen Zweck und einen Grund für seine Existenz, und einen zu leihen, weil er unauffällig wirkt, verschiebt die Kollision, statt sie zu beseitigen. Arbeiten Sie es als Reihenfolge ab: Lesen Sie die Zuteilung, erfassen Sie, was sich bereits überschneidet, und entscheiden Sie erst dann, ob Sie umnummerieren, übersetzen oder neuen Raum erzeugen. Die Reihenfolge zählt, weil der dritte Schritt davon abhängt, was die ersten beiden gefunden haben.

Lesen Sie die Zuteilung, bevor Sie einen Bereich leihen

Das IANA-Register für besondere Zwecke trennt Bereiche, die wiederverwendbarer privater Raum sind, von Bereichen, die einem bestimmten technischen Zweck dienen. Private Nutzung, gemeinsam genutzter Adressraum, Benchmarking und Dokumentationsblöcke sehen in einer Tabelle gleich aus und verhalten sich völlig anders, sobald sie geroutet werden.

Zwei Präfixe, die sich nur im zweiten Oktett unterscheiden, sind nicht derselbe Block: 198.18.0.0/15 trägt die Benchmark-Reservierung, während 192.18.0.0/16 nichts dergleichen trägt. Eine Nummer, die einem reservierten Bereich nur ähnelt, erbt dessen Bedeutung nicht. Diese Verwechslung ist häufig genug, um einen zweiten Blick zu verdienen, bevor sie in einer Firewall-Regel landet.

Produkte verwenden manchmal bewusst einen besonderen Bereich innerhalb eines koordinierten Overlays, und das ist ihr Design, das dokumentiert werden sollte. Es macht denselben Bereich nicht zu freiem Platz für ein unabhängiges LAN. Auch öffentlicher Raum ist kein Versteck: eine private Route zu einer Adresse, die jemand anderem gehört, leitet Verkehr um, der für ihr rechtmäßiges Ziel bestimmt ist.

Erfassen Sie die Überschneidungen, die Sie bereits haben

Bevor Sie ein Präfix wählen, listen Sie jedes Netzwerk auf, das vom Tunnel aus erreichbar sein wird. Standorte, Client-Pools, Cloud-VPCs und Partnerverbindungen zählen alle, und die Partnerverbindung ist die, die Leute vergessen, bis der erste Verbindungsversuch fehlschlägt.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Setzen Sie die Ergebnisse in eine Tabelle mit dem Eigentümer jedes Bereichs daneben. Ein Bereich, für den Sie keinen Eigentümer nennen können, ist ein Bereich, den Sie später nicht umnummerieren können, und genau die Erfassung macht aus einer Debatte über „ungewöhnliche“ Präfixe eine Entscheidung über konkrete Nummern. Sie sagt Ihnen auch, ob der Konflikt, den Sie vermeiden wollen, echt oder eingebildet ist.

Wenn das Heimnetz eines Remote-Mitarbeiters dasselbe Präfix wie das Büro-LAN verwendet, ist dieser Konflikt in der Erfassung sichtbar und lässt sich ausdrücklich behandeln. Das ist kein Beweis, dass ein Benchmark-Block eine kluge Wahl wäre, und genau so entsteht die nächste Kollision.

Erzeugen Sie eine eindeutige ULA, statt ein Präfix zu kopieren

IPv6 löst das Wiederverwendungsproblem mit einem anderen Mechanismus statt mit einer schöneren Nummer. RFC 4193 definiert lokal zugewiesene eindeutige lokale Adressen mit einer pseudozufälligen 40-bit globalen Kennung, was Ihnen ein /48 für einen Standort gibt, das sehr unwahrscheinlich mit dem eines anderen kollidiert. Die Wahrscheinlichkeit ist hoch, nicht absolut, und ein ULA-Präfix bietet weiterhin keine Internet-Erreichbarkeit.

openssl rand -hex 5

Zehn hexadezimale Ziffern sind vierzig Bit. Stellen Sie fd voran und gruppieren Sie sie in das /48: aus einer Ausgabe 3f9c1a7b02 wird fd3f:9c1a:7b02::/48. Erzeugen Sie eines pro Standort und halten Sie es fest, statt dasselbe bequeme fd00::/48 in jede Bereitstellung zu kopieren.

Bestätigen Sie dann, dass der gesamte Pfad tatsächlich IPv6 spricht. Clients, Gateway, Routen, privates DNS und Dienstrichtlinie müssen alle übereinstimmen, und ein Präfix dem Tunnel zuzuweisen bringt eine reine IPv4-Anwendung nicht dazu, es zu nutzen.

Planen Sie die Überschneidung, die Sie nicht entfernen können

Manche Überschneidungen sind dauerhaft, meist weil ein Partner nicht umnummeriert und Sie ihn nicht dazu zwingen können. Dann wählen Sie bewusst einen unterstützten Mechanismus: Umnummerierung auf Ihrer Seite, einen isolierten Routing-Kontext oder ausdrückliche Übersetzung an einer Grenze. Bewusst wählen heißt aufzuschreiben, welchen Sie gewählt haben und warum die anderen beiden verworfen wurden. Diese Notiz ist es, die eine künftige Änderungsprüfung tatsächlich lesen wird.

Übersetzung muss den Rückweg erhalten, was bedeutet, sowohl das ursprüngliche als auch das dargestellte Präfix festzuhalten und sie den privaten DNS-Namen zuzuordnen, die darauf auflösen. Ein zugeordneter Alias kann eine Verbindung eindeutig machen; er macht die ursprünglichen Adressen nicht global eindeutig und übersteht keinen zweiten überlappenden Partner ohne eine zweite Zuordnung.

Schreiben Sie die Zuteilung mit ihrer Ausnahme auf

Schließen Sie mit einem Dokument ab, das jedes Präfix, seine Kategorie, seinen Eigentümer und den Grund der Wahl auflistet. Fügen Sie die Ausnahmen mit ihrer Übersetzungs- oder Umnummerierungsregel und dem Datum hinzu, an dem jemand sie genehmigt hat. Bewahren Sie es neben den Firewall-Regeln auf, die es umsetzen, statt in einem Wiki, das während eines Vorfalls niemand öffnet. Das Dokument ist das Ergebnis, nicht seine Zusammenfassung.

Dieser Eintrag ist es, der den nächsten Ingenieur davon abhält, nach einer seltsamer aussehenden Nummer zu suchen, und genau so wird dieses Problem alle paar Jahre unter neuem Namen wiederentdeckt. Er gibt einer Änderungsprüfung auch etwas Konkretes zu genehmigen statt einer Meinung über Präfixe. Schreiben Sie ihn einmal, am Ende der Zuteilung, solange die Begründung noch vor Ihnen liegt.