Valitse VPN-osoiteavaruus allokoinnin, älä huomaamattomuuden perusteella
Vertailu-, jaettu- ja dokumentaatioalueilla on kullakin omistaja ja tarkoitus. Valitse VPN-avaruus rekisteristä ja suunnittele sitten päällekkäisyys, jota et voi poistaa.
Epätavalliselta näyttävä etuliite tuntuu pakotieltä kodin ja toimiston osoitekonfliktista, eikä se yleensä ole sitä. Jokaisella IPv4:n erikoiskäyttörekisterin lohkolla on omistaja, tarkoitus ja syy olemassaololleen, ja yhden lainaaminen siksi, että se näyttää hiljaiselta, siirtää törmäyksen sen sijaan että poistaisi sen. Suorita tämä järjestyksenä: lue allokointi, kartoita se mikä jo menee päällekkäin ja päätä vasta sitten numeroitko uudelleen, käännätkö vai luotko uutta tilaa. Järjestys on tärkeä, koska kolmas vaihe riippuu siitä, mitä kaksi ensimmäistä löysivät.
Lue allokointi ennen kuin lainaat aluetta
IANA:n erikoiskäyttörekisteri erottaa uudelleenkäytettävän yksityisen tilan alueet alueista, jotka palvelevat yhtä tiettyä teknistä tarkoitusta. Yksityiskäyttö, jaettu osoiteavaruus, vertailumittaus ja dokumentaatiolohkot näyttävät laskentataulukossa samalta ja käyttäytyvät täysin eri tavalla, kun ne reititetään.
| Range | Category | What it means for a VPN plan |
|---|---|---|
| 172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8 | RFC 1918 private use | Reusable by any network, so remote sites may already use the same numbers |
| 100.64.0.0/10 | Shared address space | Intended for provider-side carrier-grade NAT arrangements, not a second private pool |
| 198.18.0.0/15 | Benchmarking | Reserved for test traffic measurement; not spare production space |
| 203.0.113.0/24, 198.51.100.0/24, 192.0.2.0/24 | Documentation (RFC 5737) | Illustration only; a guide that uses them is not assigning them to you |
| 169.254.0.0/16, 240.0.0.0/4 | Link-local, reserved | Never a routed site subnet, whatever the prefix length suggests |
Kaksi etuliitettä, jotka eroavat vain toisessa oktetissa, eivät ole sama lohko: 198.18.0.0/15 kantaa vertailuvarauksen, kun taas 192.18.0.0/16 ei kanna mitään sellaista. Numero, joka vain muistuttaa varattua aluetta, ei peri sen merkitystä. Tämä sekaannus on riittävän yleinen ansaitakseen toisen silmäyksen ennen kuin se päätyy palomuurisääntöön.
Tuotteet käyttävät joskus tarkoituksella erikoisaluetta koordinoidun peitteen sisällä, ja se on niiden suunnittelu, joka on dokumentoitava. Se ei tee samasta alueesta varatilaa asiaankuulumattomalle lähiverkolle. Julkinen tila ei ole piilopaikka sekään: yksityinen reitti osoitteeseen, joka kuuluu jollekin toiselle, ohjaa sivuun liikenteen, joka oli tarkoitettu sen lailliselle kohteelle.
Kartoita päällekkäisyydet, jotka sinulla jo on
Ennen etuliitteen valintaa luettele jokainen verkko, joka on tunnelista tavoitettavissa. Sivustot, asiakaspoolit, pilven VPC:t ja kumppaniyhteydet lasketaan kaikki, ja kumppaniyhteys on se, jonka ihmiset unohtavat, kunnes ensimmäinen yhteysyritys epäonnistuu.
ip -4 route show table all ip -6 route show ip -br addr ip route get 192.168.1.10
Laita tulokset yhteen taulukkoon kunkin alueen omistajan kanssa viereen. Alue, jolle et osaa nimetä omistajaa, on alue, jota et voi myöhemmin numeroida uudelleen, ja juuri kartoitus muuttaa väittelyn »epätavallisista« etuliitteistä päätökseksi tietyistä numeroista. Se kertoo myös, onko konflikti, jota yrität välttää, todellinen vai kuviteltu.
Jos etätyöntekijän kotiverkko käyttää samaa etuliitettä kuin toimiston lähiverkko, tämä konflikti näkyy kartoituksessa ja se voidaan käsitellä nimenomaisesti. Se ei ole todiste siitä, että vertailulohko olisi viisas valinta, ja juuri sellainen käsittely synnyttää seuraavan törmäyksen.
Luo ainutlaatuinen ULA sen sijaan, että kopioisit etuliitteen
IPv6 ratkaisee uudelleenkäytön ongelman eri mekanismilla eikä kauniimmalla numerolla. RFC 4193 määrittelee paikallisesti osoitetut ainutlaatuiset paikalliset osoitteet näennäissatunnaisella 40-bit globaalilla tunnisteella, mikä antaa sinulle /48:n sivustolle, joka hyvin epätodennäköisesti törmää kenenkään toisen kanssa. Todennäköisyys on suuri, ei absoluuttinen, eikä ULA-etuliite silti tarjoa internetyhteyttä.
openssl rand -hex 5
Kymmenen heksadesimaalinumeroa on neljäkymmentä bittiä. Laita eteen fd ja ryhmittele ne /48:aan: tuloste 3f9c1a7b02 muuttuu muotoon fd3f:9c1a:7b02::/48. Luo yksi sivustoa kohden ja kirjaa se, sen sijaan että liittäisit saman kätevän fd00::/48:n jokaiseen käyttöönottoon.
Vahvista sitten, että koko polku todella puhuu IPv6:ta. Asiakkaiden, yhdyskäytävän, reittien, yksityisen DNS:n ja palvelukäytännön on oltava yhtä mieltä, eikä etuliitteen osoittaminen tunnelille saa vain IPv4:llä toimivaa sovellusta käyttämään sitä.
Suunnittele päällekkäisyys, jota et voi poistaa
Jotkut päällekkäisyydet ovat pysyviä, yleensä siksi, että kumppani ei numeroi uudelleen etkä voi pakottaa häntä. Silloin valitset tarkoituksella tuetun mekanismin: uudelleennumerointi omalla puolellasi, eristetty reitityskonteksti tai nimenomainen käännös rajalla. Tarkoituksellinen valinta tarkoittaa, että kirjoitat, minkä valitsit ja miksi kaksi muuta hylättiin. Juuri sitä muistiinpanoa tuleva muutosten katselmointi todella lukee.
Käännöksen on säilytettävä paluupolku, mikä tarkoittaa sekä alkuperäisen että esitetyn etuliitteen kirjaamista ja niiden sovittamista yksityisiin DNS-nimiin, jotka ratkeavat niihin. Kartoitettu aliaksen voi tehdä yhdestä yhteydestä yksiselitteisen; se ei tee alkuperäisistä osoitteista maailmanlaajuisesti ainutlaatuisia eikä kestä toista päällekkäistä kumppania ilman toista kartoitusta.
Kirjoita allokointi muistiin poikkeuksensa kanssa
Lopeta asiakirjaan, joka luettelee jokaisen etuliitteen, sen luokan, omistajan ja valinnan syyn. Lisää poikkeukset niiden käännös- tai uudelleennumerointisäännön ja päivämäärän kanssa, jolloin joku hyväksyi ne. Pidä sitä sen toteuttavien palomuurisääntöjen vieressä, älä wikissä, jota kukaan ei avaa tapahtuman aikana. Asiakirja on toimitus, ei sen yhteenveto.
Juuri tämä kirjaus estää seuraavaa insinööriä etsimästä oudomman näköistä numeroa, ja juuri niin tämä ongelma löydetään uudelleen muutaman vuoden välein uudella nimellä. Se antaa myös muutosten katselmoinnille jotain konkreettista hyväksyttävää etuliitteitä koskevan mielipiteen sijaan. Kirjoita se kerran, allokoinnin lopussa, kun perustelu on vielä edessäsi.