Elija el espacio de direcciones VPN por asignación, no por oscuridad

Un prefijo de aspecto inusual parece una escapatoria del conflicto de direcciones entre casa y oficina, y normalmente no lo es. Cada bloque del registro IPv4 de fines especiales tiene un propietario, un propósito y una razón para existir, y tomar prestado uno porque parece tranquilo traslada la colisión en lugar de eliminarla. Ejecútelo como una secuencia: lea la asignación, inventaríe lo que ya se solapa y solo entonces decida si renumera, traduce o genera espacio nuevo. El orden importa porque el tercer paso depende de lo que encontraron los dos primeros.

Lea la asignación antes de tomar prestado un rango

El registro de fines especiales de la IANA separa los rangos que son espacio privado reutilizable de los rangos que sirven a un propósito técnico concreto. El uso privado, el espacio de direcciones compartido, la referencia y los bloques de documentación parecen iguales en una hoja de cálculo y se comportan de forma completamente distinta en cuanto se enrutan.

Dos prefijos que solo difieren en el segundo octeto no son el mismo bloque: 198.18.0.0/15 lleva la reserva de referencia, mientras que 192.18.0.0/16 no lleva nada parecido. Un número que solo se parece a un rango reservado no hereda su significado. Esta confusión es lo bastante común como para merecer una segunda mirada antes de llegar a una regla de cortafuegos.

Los productos a veces usan deliberadamente un rango especial dentro de una superposición coordinada, y ese es su diseño, que hay que documentar. Eso no convierte el mismo rango en espacio libre para una LAN no relacionada. El espacio público tampoco es un escondite: una ruta privada hacia una dirección que pertenece a otro desvía el tráfico destinado a su destino legítimo.

Inventaríe los solapamientos que ya tiene

Antes de elegir un prefijo, enumere todas las redes que serán accesibles desde el túnel. Los sitios, los grupos de clientes, las VPC en la nube y los enlaces de socios cuentan todos, y el enlace de socio es el que la gente olvida hasta que falla el primer intento de conexión.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Ponga los resultados en una tabla con el propietario de cada rango al lado. Un rango para el que no puede nombrar un propietario es un rango que no podrá renumerar después, y el inventario es lo que convierte una discusión sobre prefijos «inusuales» en una decisión sobre números concretos. También le dice si el conflicto que intenta evitar es real o imaginario.

Si la red doméstica de un trabajador remoto usa el mismo prefijo que la LAN de la oficina, ese conflicto es visible en el inventario y puede tratarse de forma explícita. No es prueba de que un bloque de referencia sería una elección inteligente, y tratarlo así es como se crea la siguiente colisión.

Genere una ULA única en lugar de copiar un prefijo

IPv6 resuelve el problema de la reutilización con un mecanismo distinto en lugar de con un número más bonito. RFC 4193 define direcciones locales únicas asignadas localmente con un identificador global pseudoaleatorio de 40-bit, lo que le da un /48 para un sitio muy improbable de colisionar con el de nadie más. La probabilidad es alta, no absoluta, y un prefijo ULA sigue sin ofrecer accesibilidad a internet.

openssl rand -hex 5

Diez dígitos hexadecimales son cuarenta bits. Antepóngales fd y agrúpelos en el /48: una salida 3f9c1a7b02 se convierte en fd3f:9c1a:7b02::/48. Genere uno por sitio y anótelo, en lugar de pegar el mismo fd00::/48 cómodo en cada despliegue.

Luego confirme que toda la ruta habla realmente IPv6. Los clientes, la puerta de enlace, las rutas, el DNS privado y la política de servicio deben coincidir, y asignar un prefijo al túnel no hace que una aplicación solo IPv4 lo use.

Planifique el solapamiento que no puede eliminar

Algunos solapamientos son permanentes, normalmente porque un socio no renumerará y usted no puede obligarlo. Es entonces cuando elige deliberadamente un mecanismo admitido: renumeración en su lado, un contexto de enrutamiento aislado o traducción explícita en una frontera. Elegirlo deliberadamente significa anotar cuál eligió y por qué se rechazaron los otros dos. Esa nota es lo que una futura revisión de cambios leerá de verdad.

La traducción debe preservar el camino de retorno, lo que significa registrar tanto el prefijo original como el presentado y emparejarlos con los nombres DNS privados que resuelven en ellos. Un alias mapeado puede hacer inequívoca una conexión; no hace que las direcciones originales sean globalmente únicas y no sobrevivirá a un segundo socio solapado sin un segundo mapeo.

Anote la asignación con su excepción

Termine con un documento que enumere cada prefijo, su categoría, su propietario y la razón por la que se eligió. Añada las excepciones con su regla de traducción o renumeración y la fecha en que alguien las aprobó. Guárdelo junto a las reglas de cortafuegos que lo implementan, no en una wiki que nadie abre durante un incidente. El documento es el entregable, no un resumen de él.

Ese registro es lo que impide que el siguiente ingeniero busque un número de aspecto más extraño, que es como este problema se redescubre cada pocos años bajo un nombre nuevo. También da a una revisión de cambios algo concreto que aprobar en lugar de una opinión sobre prefijos. Escríbalo una vez, al final de la asignación, mientras el razonamiento sigue delante de usted.