Επιλέξτε χώρο διευθύνσεων VPN με βάση την εκχώρηση, όχι την αφάνεια

Ένα πρόθεμα με ασυνήθιστη εμφάνιση μοιάζει με διαφυγή από τη σύγκρουση διευθύνσεων σπιτιού και γραφείου, και συνήθως δεν είναι. Κάθε μπλοκ στο μητρώο IPv4 ειδικών σκοπών έχει ιδιοκτήτη, σκοπό και λόγο ύπαρξης, και το να δανειστείτε ένα επειδή φαίνεται ήσυχο μετατοπίζει τη σύγκρουση αντί να την αφαιρεί. Εκτελέστε το ως ακολουθία: διαβάστε την εκχώρηση, καταγράψτε τι επικαλύπτεται ήδη και μόνο τότε αποφασίστε αν θα επαναριθμήσετε, θα μεταφράσετε ή θα δημιουργήσετε νέο χώρο. Η σειρά έχει σημασία, γιατί το τρίτο βήμα εξαρτάται από το τι βρήκαν τα δύο πρώτα.

Διαβάστε την εκχώρηση πριν δανειστείτε μια περιοχή

Το μητρώο ειδικών σκοπών του IANA διαχωρίζει τις περιοχές που είναι επαναχρησιμοποιήσιμος ιδιωτικός χώρος από τις περιοχές που εξυπηρετούν έναν συγκεκριμένο τεχνικό σκοπό. Η ιδιωτική χρήση, ο κοινόχρηστος χώρος διευθύνσεων, οι δοκιμές και τα μπλοκ τεκμηρίωσης φαίνονται ίδια σε ένα υπολογιστικό φύλλο και συμπεριφέρονται εντελώς διαφορετικά μόλις δρομολογηθούν.

Δύο προθέματα που διαφέρουν μόνο στη δεύτερη οκτάδα δεν είναι το ίδιο μπλοκ: το 198.18.0.0/15 φέρει την επιφύλαξη δοκιμών, ενώ το 192.18.0.0/16 δεν φέρει τίποτα τέτοιο. Ένας αριθμός που απλώς μοιάζει με δεσμευμένη περιοχή δεν κληρονομεί το νόημά της. Αυτή η σύγχυση είναι αρκετά συνηθισμένη ώστε να δικαιολογεί δεύτερη ματιά πριν φτάσει σε κανόνα τείχους προστασίας.

Τα προϊόντα μερικές φορές χρησιμοποιούν σκόπιμα μια ειδική περιοχή μέσα σε ένα συντονισμένο overlay, και αυτός είναι ο σχεδιασμός τους που πρέπει να τεκμηριωθεί. Αυτό δεν κάνει την ίδια περιοχή ελεύθερο χώρο για ένα άσχετο LAN. Ούτε ο δημόσιος χώρος είναι κρυψώνα: μια ιδιωτική διαδρομή προς διεύθυνση που ανήκει σε άλλον εκτρέπει κίνηση που προοριζόταν για τον νόμιμο προορισμό της.

Καταγράψτε τις επικαλύψεις που έχετε ήδη

Πριν επιλέξετε πρόθεμα, απαριθμήστε κάθε δίκτυο που θα είναι προσβάσιμο από το τούνελ. Οι τοποθεσίες, οι πισίνες πελατών, τα VPC στο νέφος και οι συνδέσεις συνεργατών μετράνε όλες, και η σύνδεση συνεργάτη είναι αυτή που ξεχνούν μέχρι να αποτύχει η πρώτη απόπειρα σύνδεσης.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Βάλτε τα αποτελέσματα σε έναν πίνακα με τον ιδιοκτήτη κάθε περιοχής δίπλα. Μια περιοχή για την οποία δεν μπορείτε να ονομάσετε ιδιοκτήτη είναι μια περιοχή που δεν θα μπορείτε να επαναριθμήσετε αργότερα, και η καταγραφή είναι αυτή που μετατρέπει τη διαφωνία για «ασυνήθιστα» προθέματα σε απόφαση για συγκεκριμένους αριθμούς. Σας λέει επίσης αν η σύγκρουση που προσπαθείτε να αποφύγετε είναι πραγματική ή φανταστική.

Αν το οικιακό δίκτυο ενός απομακρυσμένου εργαζομένου χρησιμοποιεί το ίδιο πρόθεμα με το LAN του γραφείου, αυτή η σύγκρουση φαίνεται στην καταγραφή και μπορεί να αντιμετωπιστεί ρητά. Δεν είναι απόδειξη ότι ένα μπλοκ δοκιμών θα ήταν έξυπνη επιλογή, και η αντιμετώπιση ως τέτοια είναι ο τρόπος με τον οποίο δημιουργείται η επόμενη σύγκρουση.

Δημιουργήστε μια μοναδική ULA αντί να αντιγράψετε ένα πρόθεμα

Το IPv6 λύνει το πρόβλημα επαναχρησιμοποίησης με διαφορετικό μηχανισμό αντί με ομορφότερο αριθμό. Το RFC 4193 ορίζει τοπικά εκχωρημένες μοναδικές τοπικές διευθύνσεις με ψευδοτυχαίο 40-bit καθολικό αναγνωριστικό, που σας δίνει ένα /48 για τοποθεσία που είναι πολύ απίθανο να συγκρουστεί με κάποιου άλλου. Η πιθανότητα είναι υψηλή, όχι απόλυτη, και ένα πρόθεμα ULA εξακολουθεί να μην παρέχει πρόσβαση στο διαδίκτυο.

openssl rand -hex 5

Δέκα δεκαεξαδικά ψηφία είναι σαράντα bit. Βάλτε μπροστά το fd και ομαδοποιήστε τα στο /48: μια έξοδος 3f9c1a7b02 γίνεται fd3f:9c1a:7b02::/48. Δημιουργήστε ένα ανά τοποθεσία και καταγράψτε το, αντί να επικολλάτε το ίδιο βολικό fd00::/48 σε κάθε ανάπτυξη.

Στη συνέχεια επιβεβαιώστε ότι ολόκληρη η διαδρομή μιλάει πραγματικά IPv6. Οι πελάτες, η πύλη, οι διαδρομές, το ιδιωτικό DNS και η πολιτική υπηρεσιών πρέπει όλα να συμφωνούν, και η εκχώρηση προθέματος στο τούνελ δεν κάνει μια εφαρμογή μόνο IPv4 να το χρησιμοποιήσει.

Σχεδιάστε την επικάλυψη που δεν μπορείτε να αφαιρέσετε

Κάποιες επικαλύψεις είναι μόνιμες, συνήθως επειδή ένας συνεργάτης δεν θα επαναριθμήσει και δεν μπορείτε να τον αναγκάσετε. Τότε επιλέγετε συνειδητά έναν υποστηριζόμενο μηχανισμό: επαναρίθμηση από τη δική σας πλευρά, απομονωμένο περιβάλλον δρομολόγησης ή ρητή μετάφραση σε ένα σύνορο. Η συνειδητή επιλογή σημαίνει να γράψετε ποιον διαλέξατε και γιατί απορρίφθηκαν οι άλλοι δύο. Αυτή η σημείωση είναι αυτό που θα διαβάσει πραγματικά μια μελλοντική ανασκόπηση αλλαγών.

Η μετάφραση πρέπει να διατηρεί τη διαδρομή επιστροφής, που σημαίνει να καταγράψετε τόσο το αρχικό όσο και το παρουσιαζόμενο πρόθεμα και να τα αντιστοιχίσετε με τα ιδιωτικά ονόματα DNS που επιλύονται σε αυτά. Ένα αντιστοιχισμένο ψευδώνυμο μπορεί να κάνει μία σύνδεση σαφή· δεν κάνει τις αρχικές διευθύνσεις παγκοσμίως μοναδικές και δεν θα επιβιώσει από δεύτερο συνεργάτη με επικάλυψη χωρίς δεύτερη αντιστοίχιση.

Γράψτε την εκχώρηση μαζί με την εξαίρεσή της

Ολοκληρώστε με ένα έγγραφο που απαριθμεί κάθε πρόθεμα, την κατηγορία του, τον ιδιοκτήτη του και τον λόγο επιλογής. Προσθέστε τις εξαιρέσεις με τον κανόνα μετάφρασης ή επαναρίθμησής τους και την ημερομηνία που κάποιος τις ενέκρινε. Κρατήστε το δίπλα στους κανόνες τείχους προστασίας που το εφαρμόζουν, όχι σε ένα wiki που κανείς δεν ανοίγει κατά τη διάρκεια ενός περιστατικού. Το έγγραφο είναι το παραδοτέο, όχι μια σύνοψή του.

Αυτή η καταγραφή είναι που εμποδίζει τον επόμενο μηχανικό να αναζητήσει έναν πιο παράξενο αριθμό, και έτσι αυτό το πρόβλημα ανακαλύπτεται ξανά κάθε λίγα χρόνια με νέο όνομα. Δίνει επίσης σε μια ανασκόπηση αλλαγών κάτι συγκεκριμένο να εγκρίνει αντί για μια γνώμη περί προθεμάτων. Γράψτε το μία φορά, στο τέλος της εκχώρησης, όσο το σκεπτικό είναι ακόμη μπροστά σας.