Valige VPN-i aadressiruum jaotuse, mitte märkamatuse järgi
Võrdlus-, jagatud ja dokumentatsioonivahemikel on igal oma omanik ja otstarve. Valige VPN-i ruum registrist ja seejärel planeerige kattuvus, mida te ei saa eemaldada.
Ebatavaliselt näiv prefiks tundub pääsuna kodu ja kontori aadressikonfliktist ning tavaliselt see seda ei ole. Igal IPv4 eriotstarbeliseregistri plokil on omanik, otstarve ja põhjus, miks see olemas on, ning ühe laenamine sellepärast, et see tundub vaikne, liigutab kokkupõrke teisale, selle asemel et see kõrvaldada. Tehke seda järjestusena: lugege jaotust, inventariseerige, mis juba kattub, ja alles siis otsustage, kas te nummerdate ümber, tõlgite või loote uue ruumi. Järjekord on oluline, sest kolmas samm sõltub sellest, mida leidsid kaks esimest.
Lugege jaotust enne, kui vahemikku laenate
Registri IANA eriotstarbelised vahemikud eraldavad korduvkasutatava privaatse ruumi vahemikud vahemikest, mis teenivad ühte konkreetset tehnilist otstarvet. Privaatne kasutus, jagatud aadressiruum, võrdlus- ja dokumentatsiooniplokid näevad tabelis ühesugused välja ja käituvad täiesti erinevalt, kui need on marsruuditud.
| Range | Category | What it means for a VPN plan |
|---|---|---|
| 172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8 | RFC 1918 private use | Reusable by any network, so remote sites may already use the same numbers |
| 100.64.0.0/10 | Shared address space | Intended for provider-side carrier-grade NAT arrangements, not a second private pool |
| 198.18.0.0/15 | Benchmarking | Reserved for test traffic measurement; not spare production space |
| 203.0.113.0/24, 198.51.100.0/24, 192.0.2.0/24 | Documentation (RFC 5737) | Illustration only; a guide that uses them is not assigning them to you |
| 169.254.0.0/16, 240.0.0.0/4 | Link-local, reserved | Never a routed site subnet, whatever the prefix length suggests |
Kaks prefiksit, mis erinevad ainult teise okteti poolest, ei ole sama plokk: 198.18.0.0/15 kannab võrdluseks reserveeringut, samas kui 192.18.0.0/16 ei kanna midagi sellist. Number, mis ainult meenutab reserveeritud vahemikku, ei päri selle tähendust. See segadus on küllalt tavaline, et väärida teist pilku enne tulemüürireeglisse jõudmist.
Tooted kasutavad mõnikord meelega erivahemikku koordineeritud ülekande sees ja see on nende disain, mida tuleb dokumenteerida. See ei tee samast vahemikust vaba ruumi mitteseotud lokaalvõrgu jaoks. Ka avalik ruum ei ole peidupaik: privaatne marsruut aadressile, mis kuulub kellelegi teisele, suunab kõrvale liikluse, mis oli mõeldud selle seaduslikule sihtkohale.
Inventariseerige kattuvused, mis teil juba on
Enne prefiksi valimist loetlege iga võrk, mis on tunnelist kättesaadav. Saidid, kliendibasseinid, pilve-VPC-d ja partnerlingid kõik loevad, ja partnerlink on see, mille inimesed unustavad, kuni esimene ühenduskatse ebaõnnestub.
ip -4 route show table all ip -6 route show ip -br addr ip route get 192.168.1.10
Pange tulemused ühte tabelisse iga vahemiku omanikuga kõrval. Vahemik, millele te ei oska omanikku nimetada, on vahemik, mida te hiljem ümber nummerdada ei saa, ja just inventuur muudab vaidluse „ebatavaliste” prefiksite üle otsuseks konkreetsete numbrite kohta. See ütleb teile ka, kas konflikt, mida püüate vältida, on tõeline või kujutletud.
Kui kaugtöötaja koduvõrk kasutab sama prefiksit kui kontori lokaalvõrk, on see konflikt inventuuris nähtav ja seda saab selgesõnaliselt käsitleda. See ei ole tõestus, et võrdlusplokk oleks nutikas valik, ja just nii tekib järgmine kokkupõrge.
Looge kordumatu ULA, selle asemel et prefiksit kopeerida
IPv6 lahendab korduskasutuse probleemi teistsuguse mehhanismiga, mitte ilusama numbriga. RFC 4193 määratleb kohalikult omistatud kordumatud kohalikud aadressid pseudojuhusliku 40-bit ülemaailmse identifikaatoriga, mis annab teile /48 saidi jaoks, mis tõenäoliselt ei põrka kellegi teise omaga. Tõenäosus on suur, mitte absoluutne, ja ULA-prefiks ei paku endiselt interneti kättesaadavust.
openssl rand -hex 5
Kümme kuueteistkümnendnumbrit on nelikümmend bitti. Pange ette fd ja rühmitage need /48 sisse: väljund 3f9c1a7b02 muutub fd3f:9c1a:7b02::/48. Looge üks saidi kohta ja registreerige see, selle asemel et kleepida sama mugav fd00::/48 igasse juurutusse.
Seejärel kinnitage, et kogu tee räägib tõesti IPv6-t. Kliendid, lüüs, marsruudid, privaatne DNS ja teenusepoliitika peavad kõik nõustuma, ja prefiksi tunnelile omistamine ei pane ainult IPv4-l töötavat rakendust seda kasutama.
Planeerige kattuvus, mida te ei saa eemaldada
Mõned kattuvused on püsivad, tavaliselt sellepärast, et partner ei nummerda ümber ja te ei saa teda sundida. Siis valite teadlikult toetatud mehhanismi: ümbernummerdamine teie poolel, isoleeritud marsruutimiskontekst või selgesõnaline tõlge piiril. Teadlik valik tähendab üleskirjutamist, millise te valisite ja miks kaks ülejäänut tagasi lükati. Just seda märkust loeb tulevane muudatuste ülevaatus tegelikult.
Tõlge peab säilitama tagasitee, mis tähendab nii algse kui ka esitatud prefiksi kirjapanekut ja nende sidumist privaatsete DNS-nimedega, mis neisse lahenevad. Kaardistatud alias võib muuta ühe ühenduse ühemõtteliseks; see ei muuda algseid aadresse ülemaailmselt kordumatuteks ega pea vastu teisele kattuvale partnerile ilma teise kaardistuseta.
Kirjutage jaotus koos selle erandiga üles
Lõpetage dokumendiga, mis loetleb iga prefiksi, selle kategooria, omaniku ja valiku põhjuse. Lisage erandid koos nende tõlke- või ümbernummerdamisreegliga ja kuupäev, millal keegi need heaks kiitis. Hoidke seda selle rakendavate tulemüürireeglite kõrval, mitte vikis, mida keegi intsidendi ajal ei ava. Dokument on tulemus, mitte selle kokkuvõte.
Just see kanne takistab järgmisel inseneril otsida veidramat numbrit, ja nii avastatakse see probleem iga paari aasta tagant uue nime all uuesti. See annab ka muudatuste ülevaatusele midagi konkreetset heaks kiita, mitte arvamust prefiksite kohta. Kirjutage see üks kord, jaotuse lõpus, kui põhjendus on veel teie ees.