Elektu VPN-adresan spacon laŭ atribuo, ne laŭ kaŝiteco
Benchmark, komunaj kaj dokumentaj gamoj ĉiu havas posedanton kaj celon. Elektu VPN-spacon el la registro, poste planu la koincidon, kiun vi ne povas forigi.
Neordinare aspektanta prefikso sentiĝas kiel eskapo el la konflikto de adresoj inter hejmo kaj oficejo, kaj ĝi kutime ne estas. Ĉiu bloko en la IPv4-registro pri specialaj celoj havas posedanton, celon kaj kialon ekzisti, kaj prunti unu ĉar ĝi aspektas trankvila movas la kolizion anstataŭ forigi ĝin. Faru tion kiel sinsekvon: legu la atribuon, inventaru tion, kio jam koincidas, kaj nur poste decidu, ĉu vi renombras, tradukas aŭ generas novan spacon. La ordo gravas, ĉar la tria paŝo dependas de tio, kion trovis la unuaj du.
Legu la atribuon antaŭ ol prunti gamon
La registro de specialaj celoj de IANA apartigas gamojn, kiuj estas reuzebla privata spaco, de gamoj, kiuj servas unu specifan teknikan celon. Privata uzo, komuna adresa spaco, benchmark kaj dokumentaj blokoj aspektas same en kalkultabelo kaj kondutas tute alie post kiam ili estas enkursigataj.
| Range | Category | What it means for a VPN plan |
|---|---|---|
| 172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8 | RFC 1918 private use | Reusable by any network, so remote sites may already use the same numbers |
| 100.64.0.0/10 | Shared address space | Intended for provider-side carrier-grade NAT arrangements, not a second private pool |
| 198.18.0.0/15 | Benchmarking | Reserved for test traffic measurement; not spare production space |
| 203.0.113.0/24, 198.51.100.0/24, 192.0.2.0/24 | Documentation (RFC 5737) | Illustration only; a guide that uses them is not assigning them to you |
| 169.254.0.0/16, 240.0.0.0/4 | Link-local, reserved | Never a routed site subnet, whatever the prefix length suggests |
Du prefiksoj, kiuj diferencas nur en la dua oketo, ne estas la sama bloko: 198.18.0.0/15 portas la benchmark-rezervon, dum 192.18.0.0/16 portas nenion tian. Numero, kiu nur similas al rezervita gamo, ne heredas ĝian signifon. Tiu konfuzo estas sufiĉe ofta por pravigi duan rigardon antaŭ ol ĝi atingos fajroŝirmilan regulon.
Produktoj foje intence uzas specialan gamon ene de kunordigita tegaĵo, kaj tio estas ilia dezajno, kiun oni dokumentu. Tio ne faras la saman gamon rezerva spaco por nerilata LAN. Ankaŭ publika spaco ne estas kaŝejo: privata vojo al adreso, kiu apartenas al iu alia, deturnas trafikon destinatan al ĝia laŭleĝa celo.
Inventaru la koincidojn, kiujn vi jam havas
Antaŭ ol elekti prefikson, listigu ĉiun reton, kiu estos atingebla el la tunelo. Ejoj, klientaj basenoj, nubaj VPC-oj kaj partneraj ligoj ĉiuj gravas, kaj la partnera ligo estas tiu, kiun homoj forgesas ĝis la unua konekta provo malsukcesos.
ip -4 route show table all ip -6 route show ip -br addr ip route get 192.168.1.10
Metu la rezultojn en unu tabelon kun la posedanto de ĉiu gamo apude. Gamo, por kiu vi ne povas nomi posedanton, estas gamo, kiun vi ne povos renombri poste, kaj la inventaro estas tio, kio transformas disputon pri «neordinaraj» prefiksoj en decidon pri konkretaj numeroj. Ĝi ankaŭ diras al vi, ĉu la konflikto, kiun vi provas eviti, estas reala aŭ imagita.
Se la hejma reto de fora laboranto uzas la saman prefikson kiel la oficeja LAN, tiu konflikto estas videbla en la inventaro kaj povas esti traktata eksplicite. Ĝi ne estas pruvo, ke benchmark-bloko estus lerta elekto, kaj trakti ĝin tiel estas kiel estiĝas la sekva kolizio.
Generu unikan ULA anstataŭ kopii prefikson
IPv6 solvas la reuzan problemon per alia mekanismo anstataŭ per pli bela numero. RFC 4193 difinas loke atribuitajn unikajn lokajn adresojn kun pseŭdo-hazarda 40-bit tutmonda identigilo, kio donas al vi /48 por ejo tre malverŝajne kolizianta kun tiu de iu alia. La probableco estas alta, ne absoluta, kaj ULA-prefikso ankoraŭ ne havigas aliron al interreto.
openssl rand -hex 5
Dek deksesumaj ciferoj estas kvardek bitoj. Antaŭmetu fd kaj grupigu ilin en la /48: eligo 3f9c1a7b02 fariĝas fd3f:9c1a:7b02::/48. Generu unu por ĉiu ejo kaj registru ĝin, anstataŭ alglui la saman oportunan fd00::/48 en ĉiun deplojon.
Poste konfirmu, ke la tuta vojo vere parolas IPv6. Klientoj, enirejo, vojoj, privata DNS kaj servo-politiko ĉiuj devas konsenti, kaj atribui prefikson al la tunelo ne igas aplikaĵon nur-IPv4 uzi ĝin.
Planu la koincidon, kiun vi ne povas forigi
Iuj koincidoj estas permanentaj, kutime ĉar partnero ne renombros kaj vi ne povas devigi lin. Tiam vi konscie elektas subtenatan mekanismon: renombrado ĉe via flanko, izolita enkursigada kunteksto aŭ eksplicita traduko ĉe limo. Konscie elekti signifas skribi, kiun vi elektis kaj kial la aliaj du estis malakceptitaj. Tiu noto estas tio, kion estonta ŝanĝa revizio vere legos.
Traduko devas konservi la revenan vojon, kio signifas registri kaj la originalan kaj la prezentatan prefikson kaj parigi ilin kun la privataj DNS-nomoj, kiuj solviĝas en ilin. Mapiita alinomo povas igi unu konekton neduba; ĝi ne igas la originajn adresojn tutmonde unikaj kaj ne postvivos duan koincidan partneron sen dua mapado.
Skribu la atribuon kun ĝia escepto
Finu per dokumento, kiu listigas ĉiun prefikson, ĝian kategorion, posedanton kaj la kialon de la elekto. Aldonu la esceptojn kun ilia traduka aŭ renombra regulo kaj la daton, kiam iu aprobis ilin. Konservu ĝin apud la fajroŝirmilaj reguloj, kiuj efektivigas ĝin, ne en vikio, kiun neniu malfermas dum incidento. La dokumento estas la liveraĵo, ne resumo pri ĝi.
Tiu registro estas tio, kio malhelpas la sekvan inĝenieron serĉi pli strangan numeron, kaj tiel ĉi tiu problemo estas remalkovrata ĉiujn kelkajn jarojn sub nova nomo. Ĝi ankaŭ donas al ŝanĝa revizio ion konkretan por aprobi anstataŭ opinion pri prefiksoj. Skribu ĝin unufoje, ĉe la fino de la atribuo, dum la rezonado ankoraŭ estas antaŭ vi.