Escolla o espazo de enderezos VPN por asignación, non por obscuridade

Un prefixo de aspecto pouco habitual parece unha vía de escape do conflito de enderezos entre a casa e a oficina, e normalmente non o é. Cada bloque do rexistro IPv4 de usos especiais ten un propietario, un propósito e unha razón para existir, e tomar prestado un porque parece tranquilo despraza a colisión en lugar de eliminala. Execúteo como unha secuencia: lea a asignación, inventaríe o que xa se solapa e só entón decida se renumera, traduce ou xera espazo novo. A orde importa porque o terceiro paso depende do que atoparon os dous primeiros.

Lea a asignación antes de tomar prestado un rango

O rexistro de usos especiais da IANA separa os rangos que son espazo privado reutilizable dos rangos que serven un propósito técnico concreto. O uso privado, o espazo de enderezos compartido, a referencia e os bloques de documentación parecen iguais nunha folla de cálculo e compórtanse de forma completamente distinta unha vez que se encamiñan.

Dous prefixos que só difiren no segundo octeto non son o mesmo bloque: 198.18.0.0/15 leva a reserva de referencia, mentres que 192.18.0.0/16 non leva nada semellante. Un número que só se parece a un rango reservado non herda o seu significado. Esta confusión é abondo común como para merecer unha segunda ollada antes de chegar a unha regra de cortalumes.

Os produtos ás veces usan deliberadamente un rango especial dentro dunha superposición coordinada, e ese é o seu deseño, que hai que documentar. Iso non converte o mesmo rango en espazo libre para unha LAN non relacionada. O espazo público tampouco é un agocho: unha ruta privada cara a un enderezo que pertence a outro desvía o tráfico destinado ao seu destino lexítimo.

Inventaríe os solapamentos que xa ten

Antes de escoller un prefixo, enumere todas as redes que serán accesibles desde o túnel. Os sitios, os conxuntos de clientes, as VPC na nube e as ligazóns de socios contan todos, e a ligazón de socio é a que a xente esquece ata que falla o primeiro intento de conexión.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Pona os resultados nunha táboa co propietario de cada rango ao lado. Un rango para o que non pode nomear un propietario é un rango que non poderá renumerar despois, e o inventario é o que converte unha discusión sobre prefixos «pouco habituais» nunha decisión sobre números concretos. Tamén lle di se o conflito que intenta evitar é real ou imaxinario.

Se a rede doméstica dun traballador remoto usa o mesmo prefixo que a LAN da oficina, ese conflito é visible no inventario e pode tratarse de forma explícita. Non é proba de que un bloque de referencia sería unha elección intelixente, e tratalo así é como se crea a seguinte colisión.

Xere unha ULA única en lugar de copiar un prefixo

IPv6 resolve o problema da reutilización cun mecanismo distinto en lugar de cun número máis bonito. RFC 4193 define enderezos locais únicos asignados localmente cun identificador global pseudoaleatorio de 40-bit, o que lle dá un /48 para un sitio moi improbable de colidir co de ninguén. A probabilidade é alta, non absoluta, e un prefixo ULA segue sen ofrecer accesibilidade a internet.

openssl rand -hex 5

Dez díxitos hexadecimais son corenta bits. Antepóñalles fd e agrúpeos no /48: unha saída 3f9c1a7b02 convértese en fd3f:9c1a:7b02::/48. Xere un por sitio e anóteo, en lugar de pegar o mesmo fd00::/48 cómodo en cada despregue.

Despois confirme que todo o camiño fala realmente IPv6. Os clientes, a pasarela, as rutas, o DNS privado e a política de servizo deben coincidir, e asignar un prefixo ao túnel non fai que unha aplicación só IPv4 o use.

Planifique o solapamento que non pode eliminar

Algúns solapamentos son permanentes, normalmente porque un socio non renumerará e vostede non pode obrigalo. É entón cando elixe deliberadamente un mecanismo admitido: renumeración do seu lado, un contexto de encamiñamento illado ou tradución explícita nunha fronteira. Elixilo deliberadamente significa anotar cal escolleu e por que se rexeitaron os outros dous. Esa nota é o que unha futura revisión de cambios lerá de verdade.

A tradución debe preservar o camiño de retorno, o que significa rexistrar tanto o prefixo orixinal como o presentado e emparellalos cos nomes DNS privados que resolven neles. Un alias mapeado pode facer inequívoca unha conexión; non fai que os enderezos orixinais sexan globalmente únicos e non sobrevivirá a un segundo socio solapado sen un segundo mapeo.

Anote a asignación coa súa excepción

Remate cun documento que enumere cada prefixo, a súa categoría, o seu propietario e a razón pola que se escolleu. Engada as excepcións coa súa regra de tradución ou renumeración e a data na que alguén as aprobou. Gárdeo xunto ás regras de cortalumes que o implementan, non nun wiki que ninguén abre durante un incidente. O documento é a entrega, non un resumo del.

Ese rexistro é o que impide que o seguinte enxeñeiro busque un número de aspecto máis estraño, que é como este problema se redescobre cada poucos anos baixo un nome novo. Tamén lle dá a unha revisión de cambios algo concreto que aprobar en lugar dunha opinión sobre prefixos. Escríbao unha vez, ao final da asignación, mentres o razoamento segue diante de vostede.