فضای نشانی VPN را بر پایه تخصیص انتخاب کنید، نه پنهان‌کاری
محدوده‌های محک، مشترک و مستندسازی هر یک مالک و هدفی دارند. فضای VPN را از ثبت انتخاب کنید، سپس همپوشانی‌ای را که نمی‌توانید حذف کنید برنامه‌ریزی کنید.
پیشوندی که ظاهری غیرعادی دارد مانند راه فراری از تعارض نشانی خانه و دفتر به نظر می‌رسد و معمولاً چنین نیست. هر بلوک در ثبت IPv4 با کاربردهای ویژه مالک، هدف و دلیلی برای وجود دارد، و قرض گرفتن یکی چون آرام به نظر می‌رسد برخورد را جابه‌جا می‌کند نه اینکه آن را بردارد. این کار را به‌صورت یک توالی انجام دهید: تخصیص را بخوانید، آنچه از قبل همپوشانی دارد را فهرست کنید و تنها پس از آن تصمیم بگیرید که شماره‌گذاری را تغییر می‌دهید، ترجمه می‌کنید یا فضای تازه تولید می‌کنید. ترتیب اهمیت دارد زیرا گام سوم به آنچه دو گام اول یافته‌اند بستگی دارد.
پیش از قرض گرفتن یک محدوده، تخصیص را بخوانید
ثبت کاربردهای ویژه IANA محدوده‌هایی را که فضای خصوصی قابل استفاده مجدد هستند از محدوده‌هایی که به یک هدف فنی مشخص خدمت می‌کنند جدا می‌کند. استفاده خصوصی، فضای نشانی مشترک، محک و بلوک‌های مستندسازی در یک صفحه‌گسترده شبیه هم به نظر می‌رسند و پس از مسیریابی کاملاً متفاوت رفتار می‌کنند.
| Range | Category | What it means for a VPN plan |
|---|---|---|
| 172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8 | RFC 1918 private use | Reusable by any network, so remote sites may already use the same numbers |
| 100.64.0.0/10 | Shared address space | Intended for provider-side carrier-grade NAT arrangements, not a second private pool |
| 198.18.0.0/15 | Benchmarking | Reserved for test traffic measurement; not spare production space |
| 203.0.113.0/24, 198.51.100.0/24, 192.0.2.0/24 | Documentation (RFC 5737) | Illustration only; a guide that uses them is not assigning them to you |
| 169.254.0.0/16, 240.0.0.0/4 | Link-local, reserved | Never a routed site subnet, whatever the prefix length suggests |
دو پیشوند که فقط در هشت‌تایی دوم تفاوت دارند یک بلوک نیستند: 198.18.0.0/15 رزرو محک را حمل می‌کند، در حالی که 192.18.0.0/16 چیزی از این نوع حمل نمی‌کند. عددی که فقط شبیه یک محدوده رزروشده است معنای آن را به ارث نمی‌برد. این اشتباه به‌قدری رایج است که پیش از رسیدن به قاعده دیوار آتش، نگاه دومی را توجیه می‌کند.
محصولات گاهی به‌طور عمدی از یک محدوده ویژه درون یک پوشش هماهنگ استفاده می‌کنند و این طراحی آن‌هاست که باید مستند شود. این کار همان محدوده را به فضای اضافی برای یک شبکه محلی بی‌ارتباط تبدیل نمی‌کند. فضای عمومی هم پناهگاه نیست: مسیر خصوصی به نشانی‌ای که متعلق به دیگری است ترافیک مقصد مشروع آن را منحرف می‌کند.
همپوشانی‌هایی را که از قبل دارید فهرست کنید
پیش از انتخاب پیشوند، هر شبکه‌ای را که از تونل قابل دسترسی خواهد بود فهرست کنید. سایت‌ها، استخرهای کلاینت، VPCهای ابری و پیوندهای شریک همه به حساب می‌آیند، و پیوند شریک همان چیزی است که مردم تا نخستین تلاش ناموفق اتصال فراموش می‌کنند.
ip -4 route show table all ip -6 route show ip -br addr ip route get 192.168.1.10
نتایج را در یک جدول با مالک هر محدوده در کنارش بگذارید. محدوده‌ای که نمی‌توانید مالکی برایش نام ببرید محدوده‌ای است که بعداً نمی‌توانید شماره‌گذاری‌اش را تغییر دهید، و همین فهرست است که بحث درباره پیشوندهای «غیرعادی» را به تصمیمی درباره اعداد مشخص تبدیل می‌کند. همچنین به شما می‌گوید تعارضی که می‌خواهید از آن بگریزید واقعی است یا خیالی.
اگر شبکه خانگی یک کارمند دورکار از همان پیشوند شبکه محلی دفتر استفاده کند، آن تعارض در فهرست دیده می‌شود و می‌توان آن را صریح مدیریت کرد. این مدرکی نیست که یک بلوک محک انتخاب هوشمندانه‌ای خواهد بود، و برخورد بعدی دقیقاً از همین نگرش زاده می‌شود.
به‌جای کپی کردن یک پیشوند، یک ULA یکتا تولید کنید
IPv6 مسئله استفاده مجدد را با مکانیزمی متفاوت حل می‌کند نه با عددی خوش‌ظاهرتر. RFC 4193 نشانی‌های محلی یکتای تخصیص‌یافته محلی را با شناسه جهانی 40-bit شبه‌تصادفی تعریف می‌کند که به شما یک /48 برای سایتی می‌دهد که بسیار بعید است با سایت دیگری برخورد کند. احتمال زیاد است، نه مطلق، و پیشوند ULA هنوز هیچ دسترسی اینترنتی فراهم نمی‌کند.
openssl rand -hex 5
ده رقم هگزاادسیمال چهل بیت است. fd را پیش از آن‌ها بگذارید و در /48 گروه‌بندی کنید: خروجی 3f9c1a7b02 به fd3f:9c1a:7b02::/48 تبدیل می‌شود. برای هر سایت یکی تولید و ثبت کنید، به‌جای چسباندن همان fd00::/48 راحت در هر استقرار.
سپس تأیید کنید که کل مسیر واقعاً IPv6 صحبت می‌کند. کلاینت‌ها، دروازه، مسیرها، DNS خصوصی و سیاست سرویس همه باید توافق داشته باشند، و تخصیص پیشوند به تونل باعث نمی‌شود برنامه‌ای که فقط با IPv4 کار می‌کند از آن استفاده کند.
همپوشانی‌ای را که نمی‌توانید حذف کنید برنامه‌ریزی کنید
برخی همپوشانی‌ها دائمی‌اند، معمولاً چون شریک شماره‌گذاری را تغییر نمی‌دهد و شما نمی‌توانید او را مجبور کنید. آن‌گاه آگاهانه مکانیزمی پشتیبانی‌شده را برمی‌گزینید: تغییر شماره‌گذاری در سمت خودتان، یک بافت مسیریابی جدا، یا ترجمه صریح در یک مرز. انتخاب آگاهانه یعنی نوشتن اینکه کدام را برگزیدید و چرا دو گزینه دیگر رد شدند. همان یادداشت است که بازبینی تغییرات در آینده واقعاً خواهد خواند.
ترجمه باید مسیر بازگشت را حفظ کند، یعنی هم پیشوند اصلی و هم پیشوند ارائه‌شده را ثبت کنید و آن‌ها را با نام‌های DNS خصوصی که به آن‌ها تفکیک می‌شوند تطبیق دهید. یک نام مستعار نگاشت‌شده می‌تواند یک اتصال را بی‌ابهام کند؛ اما نشانی‌های اصلی را جهانی یکتا نمی‌کند و بدون نگاشت دوم در برابر شریک دومِ همپوشان دوام نمی‌آورد.
تخصیص را همراه با استثنای آن بنویسید
با سندی پایان دهید که هر پیشوند، دسته، مالک و دلیل انتخاب آن را فهرست می‌کند. استثناها را با قاعده ترجمه یا تغییر شماره‌گذاری‌شان و تاریخ تأیید کسی که آن‌ها را پذیرفت اضافه کنید. آن را کنار قواعد دیوار آتش که آن را پیاده می‌کنند نگه دارید، نه در ویکی‌ای که کسی هنگام حادثه باز نمی‌کند. سند همان تحویل است، نه خلاصه‌ای از آن.
همین سابقه است که مانع جستجوی مهندس بعدی برای عددی عجیب‌تر می‌شود، و این‌گونه است که این مسئله هر چند سال زیر نامی تازه دوباره کشف می‌شود. همچنین به بازبینی تغییرات چیزی مشخص برای تأیید می‌دهد به‌جای نظری درباره پیشوندها. آن را یک بار، در پایان تخصیص، وقتی استدلال هنوز پیش رویتان است بنویسید.