בחרו מרחב כתובות VPN לפי הקצאה, לא לפי הסתרה
לטווחי הבנצ'מרק, המשותפים והתיעוד יש לכל אחד בעלים ומטרה. בחרו מרחב VPN מהמרשם, ואז תכננו את החפיפה שאי אפשר להסיר.
קידומת בעלת מראה חריג נדמית כמו דרך מילוט מהתנגשות הכתובות בין הבית למשרד, ולרוב היא לא. לכל בלוק במרשם IPv4 למטרות מיוחדות יש בעלים, מטרה וסיבה לקיומו, והשאלת אחד מהם מפני שהוא נראה שקט מעבירה את ההתנגשות במקום להסיר אותה. הפעילו זאת כרצף: קראו את ההקצאה, עשו מלאי של מה שכבר חופף, ורק אז החליטו אם אתם ממספרים מחדש, מתרגמים או יוצרים מרחב חדש. הסדר חשוב מפני שהשלב השלישי תלוי במה שמצאו השניים הראשונים.
קראו את ההקצאה לפני שאתם שואלים טווח
מרשם המטרות המיוחדות של IANA מפריד בין טווחים שהם מרחב פרטי לשימוש חוזר לבין טווחים שמשרתים מטרה טכנית אחת מסוימת. שימוש פרטי, מרחב כתובות משותף, בנצ'מרק ובלוקי תיעוד נראים זהים בגיליון אלקטרוני ומתנהגים אחרת לגמרי ברגע שהם מנותבים.
| Range | Category | What it means for a VPN plan |
|---|---|---|
| 172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8 | RFC 1918 private use | Reusable by any network, so remote sites may already use the same numbers |
| 100.64.0.0/10 | Shared address space | Intended for provider-side carrier-grade NAT arrangements, not a second private pool |
| 198.18.0.0/15 | Benchmarking | Reserved for test traffic measurement; not spare production space |
| 203.0.113.0/24, 198.51.100.0/24, 192.0.2.0/24 | Documentation (RFC 5737) | Illustration only; a guide that uses them is not assigning them to you |
| 169.254.0.0/16, 240.0.0.0/4 | Link-local, reserved | Never a routed site subnet, whatever the prefix length suggests |
שתי קידומות שנבדלות רק באוקטט השני אינן אותו בלוק: 198.18.0.0/15 נושא את הסתייגות הבנצ'מרק, ואילו 192.18.0.0/16 אינו נושא דבר כזה. מספר שרק דומה לטווח שמור אינו יורש את משמעותו. הבלבול הזה נפוץ מספיק כדי להצדיק מבט שני לפני שהוא מגיע לכלל חומת אש.
מוצרים משתמשים לעתים במכוון בטווח מיוחד בתוך שכבת-על מתואמת, וזה העיצוב שלהם שצריך לתעד. זה לא הופך את אותו טווח למרחב פנוי עבור רשת מקומית לא קשורה. גם מרחב ציבורי אינו מחבוא: מסלול פרטי לכתובת ששייכת למישהו אחר מסיט תעבורה שיועדה ליעד החוקי שלה.
עשו מלאי של החפיפות שכבר יש לכם
לפני בחירת קידומת, רשמו כל רשת שתהיה נגישה מהמנהרה. אתרים, מאגרי לקוחות, VPC בענן וקישורי שותפים כולם נחשבים, וקישור השותף הוא זה שאנשים שוכחים עד שניסיון החיבור הראשון נכשל.
ip -4 route show table all ip -6 route show ip -br addr ip route get 192.168.1.10
שימו את התוצאות בטבלה אחת עם הבעלים של כל טווח לצידו. טווח שאינכם יכולים לנקוב בשם בעליו הוא טווח שלא תוכלו למספר מחדש בהמשך, והמלאי הוא מה שהופך ויכוח על קידומות «חריגות» להחלטה על מספרים מסוימים. הוא גם אומר לכם אם ההתנגשות שאתם מנסים להימנע ממנה אמיתית או מדומיינת.
אם רשת הבית של עובד מרוחק משתמשת באותה קידומת כמו רשת המשרד, ההתנגשות הזו גלויה במלאי וניתן לטפל בה במפורש. זו אינה הוכחה שבלוק בנצ'מרק יהיה בחירה חכמה, וטיפול כזה הוא הדרך שבה נוצרת ההתנגשות הבאה.
צרו ULA ייחודי במקום להעתיק קידומת
IPv6 פותר את בעיית השימוש החוזר במנגנון אחר ולא במספר יפה יותר. RFC 4193 מגדיר כתובות מקומיות ייחודיות המוקצות מקומית עם מזהה גלובלי 40-bit פסאודו-אקראי, מה שנותן לכם /48 לאתר שסביר מאוד שלא יתנגש בזה של אחר. ההסתברות גבוהה, לא מוחלטת, וקידומת ULA עדיין אינה מספקת נגישות לאינטרנט.
openssl rand -hex 5
עשר ספרות הקסדצימליות הן ארבעים סיביות. הוסיפו לפניהן fd וקבצו אותן ב-/48: פלט 3f9c1a7b02 הופך ל-fd3f:9c1a:7b02::/48. צרו אחת לכל אתר ותעדו אותה, במקום להדביק את אותו fd00::/48 נוח בכל פריסה.
אחר כך ודאו שהנתיב כולו באמת מדבר IPv6. לקוחות, שער, מסלולים, DNS פרטי ומדיניות שירות חייבים כולם להסכים, והקצאת קידומת למנהרה לא תגרום ליישום שעובד רק עם IPv4 להשתמש בה.
תכננו את החפיפה שאי אפשר להסיר
חלק מהחפיפות קבועות, בדרך כלל מפני ששותף לא ימספר מחדש ואתם לא יכולים לכפות עליו. אז אתם בוחרים במכוון מנגנון נתמך: מיספור מחדש בצד שלכם, הקשר ניתוב מבודד או תרגום מפורש בגבול. בחירה במכוון פירושה לכתוב איזה מהם בחרתם ולמה השניים האחרים נדחו. ההערה הזו היא מה שבדיקת שינוי עתידית תקרא באמת.
התרגום חייב לשמר את נתיב החזרה, כלומר לתעד גם את הקידומת המקורית וגם את זו המוצגת ולהתאים אותן לשמות ה-DNS הפרטיים שנפתרים בהן. כינוי ממופה יכול להפוך חיבור אחד לחד-משמעי; הוא לא הופך את הכתובות המקוריות לייחודיות עולמית, והוא לא ישרוד שותף חופף שני בלי מיפוי שני.
כתבו את ההקצאה יחד עם החריג שלה
סיימו במסמך שמפרט כל קידומת, את הקטגוריה שלה, את הבעלים שלה ואת הסיבה לבחירה. הוסיפו את החריגים עם כלל התרגום או המיספור מחדש שלהם והתאריך שבו מישהו אישר אותם. שמרו אותו לצד כללי חומת האש שמיישמים אותו ולא בוויקי שאיש לא פותח בזמן תקרית. המסמך הוא התוצרת, לא תקציר שלה.
הרשומה הזו היא מה שמונע מהמהנדס הבא לחפש מספר בעל מראה מוזר יותר, וכך הבעיה הזו מתגלה מחדש כל כמה שנים תחת שם חדש. היא גם נותנת לבדיקת שינוי משהו מוחשי לאשר במקום דעה על קידומות. כתבו אותה פעם אחת, בסוף ההקצאה, כשהנימוק עדיין לפניכם.