Pilih ruang alamat VPN berdasarkan alokasi, bukan berdasarkan ketersamaran

Prefiks yang tampak tidak biasa terasa seperti jalan keluar dari konflik alamat rumah versus kantor, dan biasanya bukan. Setiap blok dalam registri IPv4 tujuan khusus memiliki pemilik, tujuan, dan alasan keberadaannya, dan meminjam satu karena tampak tenang justru memindahkan tabrakan, bukan menghapusnya. Jalankan sebagai urutan: baca alokasi, inventarisasikan apa yang sudah tumpang tindih, dan baru kemudian putuskan apakah Anda menomori ulang, menerjemahkan, atau membuat ruang baru. Urutannya penting karena langkah ketiga bergantung pada apa yang ditemukan dua langkah pertama.

Baca alokasi sebelum meminjam rentang

Registri tujuan khusus IANA memisahkan rentang yang merupakan ruang privat yang dapat dipakai ulang dari rentang yang melayani satu tujuan teknis tertentu. Penggunaan privat, ruang alamat bersama, tolok ukur, dan blok dokumentasi tampak sama di lembar kerja dan berperilaku sangat berbeda begitu dirutekan.

Dua prefiks yang hanya berbeda pada oktet kedua bukan blok yang sama: 198.18.0.0/15 membawa reservasi tolok ukur, sedangkan 192.18.0.0/16 tidak membawa hal semacam itu. Angka yang hanya mirip rentang yang dicadangkan tidak mewarisi maknanya. Kebingungan ini cukup umum sehingga layak mendapat pandangan kedua sebelum mencapai aturan tembok api.

Produk kadang sengaja memakai rentang khusus di dalam lapisan koordinasi, dan itulah rancangan mereka yang harus didokumentasikan. Itu tidak menjadikan rentang yang sama sebagai ruang cadangan bagi LAN yang tidak terkait. Ruang publik juga bukan tempat persembunyian: rute privat ke alamat milik orang lain membelokkan lalu lintas yang seharusnya menuju tujuan sahnya.

Inventarisasikan tumpang tindih yang sudah Anda miliki

Sebelum memilih prefiks, daftarkan setiap jaringan yang akan dapat dijangkau dari terowongan. Situs, kumpulan klien, VPC awan, dan tautan mitra semuanya dihitung, dan tautan mitra adalah yang orang lupakan sampai upaya koneksi pertama gagal.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Letakkan hasilnya dalam satu tabel dengan pemilik setiap rentang di sampingnya. Rentang yang tidak bisa Anda sebutkan pemiliknya adalah rentang yang tidak bisa Anda nomori ulang nanti, dan inventaris itulah yang mengubah perdebatan tentang prefiks «tidak biasa» menjadi keputusan tentang angka tertentu. Itu juga memberi tahu Anda apakah konflik yang ingin Anda hindari nyata atau hanya dibayangkan.

Jika jaringan rumah seorang pekerja jarak jauh memakai prefiks yang sama dengan LAN kantor, konflik itu terlihat dalam inventaris dan dapat ditangani secara eksplisit. Itu bukan bukti bahwa blok tolok ukur akan menjadi pilihan cerdas, dan memperlakukannya seperti itu adalah cara tabrakan berikutnya tercipta.

Buat ULA unik alih-alih menyalin prefiks

IPv6 menyelesaikan masalah penggunaan ulang dengan mekanisme berbeda alih-alih angka yang lebih cantik. RFC 4193 mendefinisikan alamat lokal unik yang ditetapkan secara lokal dengan pengenal global 40-bit semu-acak, yang memberi Anda /48 untuk situs yang sangat kecil kemungkinannya bertabrakan dengan milik orang lain. Kemungkinannya tinggi, bukan mutlak, dan prefiks ULA tetap tidak menyediakan keterjangkauan internet.

openssl rand -hex 5

Sepuluh digit heksadesimal adalah empat puluh bit. Awali dengan fd dan kelompokkan ke dalam /48: keluaran 3f9c1a7b02 menjadi fd3f:9c1a:7b02::/48. Buat satu per situs dan catat, alih-alih menempelkan fd00::/48 yang sama nyamannya di setiap penerapan.

Lalu pastikan seluruh jalur benar-benar berbicara IPv6. Klien, gerbang, rute, DNS privat, dan kebijakan layanan semuanya harus sepakat, dan menetapkan prefiks ke terowongan tidak membuat aplikasi yang hanya IPv4 memakainya.

Rencanakan tumpang tindih yang tidak bisa Anda hapus

Sebagian tumpang tindih bersifat permanen, biasanya karena mitra tidak akan menomori ulang dan Anda tidak bisa memaksanya. Saat itulah Anda sengaja memilih mekanisme yang didukung: penomoran ulang di pihak Anda, konteks perutean terisolasi, atau terjemahan eksplisit di batas. Memilih dengan sengaja berarti menuliskan mana yang Anda pilih dan mengapa dua lainnya ditolak. Catatan itulah yang benar-benar akan dibaca tinjauan perubahan di masa depan.

Terjemahan harus mempertahankan jalur kembali, yang berarti mencatat prefiks asli dan prefiks yang disajikan lalu mencocokkannya dengan nama DNS privat yang mengarah ke sana. Alias yang dipetakan dapat membuat satu koneksi tidak ambigu; itu tidak membuat alamat asli unik secara global dan tidak akan bertahan melawan mitra kedua yang tumpang tindih tanpa pemetaan kedua.

Tuliskan alokasi beserta pengecualiannya

Akhiri dengan dokumen yang mendaftar setiap prefiks, kategorinya, pemiliknya, dan alasan pemilihannya. Tambahkan pengecualian beserta aturan terjemahan atau penomoran ulangnya dan tanggal seseorang menyetujuinya. Simpan di samping aturan tembok api yang menerapkannya, bukan di wiki yang tidak dibuka siapa pun saat insiden. Dokumen itulah hasil serahannya, bukan ringkasannya.

Catatan itulah yang menghentikan insinyur berikutnya mencari angka yang tampak lebih asing, dan begitulah masalah ini ditemukan ulang setiap beberapa tahun dengan nama baru. Ini juga memberi tinjauan perubahan sesuatu yang konkret untuk disetujui alih-alih pendapat tentang prefiks. Tuliskan sekali, di akhir alokasi, selagi alasannya masih di depan Anda.