A VPN-címtartományt felosztás, ne homályosság alapján válassza

Egy szokatlanul kinéző előtag úgy tűnik, mintha menekülne az otthoni és irodai címütközés elől, és általában mégsem. Az IPv4 különleges célú nyilvántartásának minden blokkjának van tulajdonosa, célja és létezésének oka, és ha valamelyiket azért kéri kölcsön, mert csendesnek tűnik, az ütközést nem megszünteti, hanem áthelyezi. Végezze ezt sorrendben: olvassa el a felosztást, vegye számba, mi fedi már egymást, és csak ezután döntse el, hogy újraszámoz, fordít vagy új teret hoz létre. A sorrend azért számít, mert a harmadik lépés attól függ, mit talált az első kettő.

Olvassa el a felosztást, mielőtt tartományt kér kölcsön

Az IANA különleges célú nyilvántartása elválasztja az újrahasznosítható magánteret adó tartományokat azoktól, amelyek egyetlen meghatározott technikai célt szolgálnak. A magánhasználat, a megosztott címtér, a referencia és a dokumentációs blokkok egy táblázatban egyformának látszanak, és teljesen másképp viselkednek, amint irányításra kerülnek.

Két előtag, amely csak a második oktettben tér el, nem ugyanaz a blokk: a 198.18.0.0/15 hordozza a referencia-fenntartást, míg a 192.18.0.0/16 semmi ehhez hasonlót nem hordoz. Egy szám, amely csak hasonlít egy fenntartott tartományra, nem örökli annak jelentését. Ez a zavar elég gyakori ahhoz, hogy egy második pillantást érdemeljen, mielőtt tűzfal-szabályba kerül.

A termékek néha szándékosan használnak különleges tartományt egy összehangolt átfedésen belül, és ezt a tervezésüket dokumentálni kell. Ez nem teszi ugyanazt a tartományt szabaddá egy nem kapcsolódó LAN számára. A nyilvános tér sem rejtekhely: egy másvalakihoz tartozó címre vezető magánútvonal eltéríti a jogos rendeltetésének szánt forgalmat.

Vegye számba a már meglévő átfedéseket

Mielőtt előtagot választ, sorolja fel az összes hálózatot, amely az alagútból elérhető lesz. A telephelyek, ügyfélkészletek, felhő-VPC-k és partnerkapcsolatok mind számítanak, és a partnerkapcsolat az, amelyet az emberek addig felejtenek, amíg az első kapcsolódási kísérlet meg nem bukik.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Tegye az eredményeket egyetlen táblázatba az egyes tartományok tulajdonosával mellette. Az a tartomány, amelyhez nem tud tulajdonost nevezni, olyan tartomány, amelyet később nem tud újraszámozni, és éppen a számbavétel az, ami a »szokatlan« előtagokról szóló vitát konkrét számokról szóló döntéssé alakítja. Azt is megmondja, hogy az elkerülni kívánt ütközés valós-e vagy képzelt.

Ha egy távoli munkatárs otthoni hálózata ugyanazt az előtagot használja, mint az irodai LAN, ez az ütközés látható a számbavételben, és kifejezetten kezelhető. Ez nem bizonyítja, hogy egy referencia-blokk okos választás lenne, és az ilyen kezelés az, ahogy a következő ütközés létrejön.

Egyedi ULA-t hozzon létre előtag másolása helyett

Az IPv6 az újrafelhasználás problémáját más mechanizmussal oldja meg, nem szebb számmal. Az RFC 4193 helyben kiosztott egyedi helyi címeket határoz meg álvéletlen 40-bit globális azonosítóval, ami olyan telephelyi /48-at ad, amely nagyon valószínűtlen, hogy bárkiével ütközik. A valószínűség magas, de nem abszolút, és az ULA-előtag továbbra sem nyújt internetes elérhetőséget.

openssl rand -hex 5

Tíz hexadecimális számjegy negyven bit. Tegyen eléjük fd-t, és csoportosítsa őket a /48-ba: a 3f9c1a7b02 kimenetből fd3f:9c1a:7b02::/48 lesz. Hozzon létre egyet telephelyenként, és jegyezze fel, ahelyett hogy ugyanazt a kényelmes fd00::/48-at illesztené minden telepítésbe.

Ezután erősítse meg, hogy a teljes útvonal valóban beszél IPv6-ot. Az ügyfeleknek, az átjárónak, az útvonalaknak, a magán-DNS-nek és a szolgáltatáspolitikának mind egyet kell értenie, és az előtag alagúthoz rendelése nem veszi rá a csak IPv4-en futó alkalmazást annak használatára.

Tervezze meg az átfedést, amelyet nem tud eltávolítani

Egyes átfedések állandóak, általában azért, mert egy partner nem számoz újra, és Ön nem kényszerítheti. Ilyenkor szándékosan választ egy támogatott mechanizmust: saját oldali újraszámozás, elkülönített útválasztási környezet vagy kifejezett fordítás egy határon. A szándékos választás azt jelenti, hogy leírja, melyiket választotta, és miért utasította el a másik kettőt. Ezt a feljegyzést fogja egy jövőbeli változásvizsgálat valóban elolvasni.

A fordításnak meg kell őriznie a visszautat, ami azt jelenti, hogy rögzíteni kell az eredeti és a bemutatott előtagot is, és össze kell párosítani azokkal a magán-DNS-nevekkel, amelyek ezekre oldódnak fel. Egy leképezett álnév egyetlen kapcsolatot egyértelművé tehet; nem teszi globálisan egyedivé az eredeti címeket, és egy második leképezés nélkül nem él túl egy második átfedő partnert.

Írja le a felosztást a kivételével együtt

Fejezze be egy dokumentummal, amely felsorolja az egyes előtagokat, kategóriájukat, tulajdonosukat és a választás okát. Adja hozzá a kivételeket a fordítási vagy újraszámozási szabályukkal és azzal a dátummal, amikor valaki jóváhagyta őket. Tartsa a megvalósító tűzfalszabályok mellett, ne egy wikiben, amelyet senki nem nyit meg egy incidens alatt. A dokumentum a szállítandó eredmény, nem annak összefoglalója.

Ez a feljegyzés az, ami megakadályozza, hogy a következő mérnök furcsább kinézésű számot keressen, és így fedezik fel újra ezt a problémát néhány évente új néven. Az is konkrétumot ad egy változásvizsgálatnak jóváhagyásra az előtagokról alkotott vélemény helyett. Írja meg egyszer, a felosztás végén, amíg az indoklás még Ön előtt van.