Non indovinare il prefisso dell’ufficio da un solo indirizzo di server

Parti dall’indirizzo che ti è stato dato, poi resisti alla tentazione di allargarlo a qualcosa che sembri ordinato. Un server a 10.22.8.19 non dice nulla sul fatto che l’ufficio possieda 10.22.8.0/24, 10.22.0.0/16 o una manciata di /28s sparsi. Scegliere 10.0.0.0/8 perché il numero inizia con 10 cattura reti domestiche, intervalli di contenitori e collegamenti partner che non volevi. Il prefisso è un confine da ottenere, non da dedurre.

La lunghezza di un prefisso descrive quanti bit iniziali sono significativi; non descrive chi possiede l’intervallo.

Un indirizzo di server non è una rete

Server, sottorete e sede sono tre cose diverse. Un singolo servizio può stare in una piccola sottorete dedicata mentre il resto dell’ufficio occupa intervalli separati, e una rotta host può essere del tutto adeguata per un servizio che ha deliberatamente un solo indirizzo. Smette di esserlo quando la sede reindirizza verso un altro host, si autentica tramite un server separato o cambia indirizzo. Quelle dipendenze sono il requisito reale, e vale la pena chiederne prima che venga installato qualsiasi prefisso.

Un calcolatore di sottoreti traduce un prefisso noto in una maschera, un intervallo o un elenco di host. Non può dedurre un confine organizzativo da un solo nome host, e trattare il suo output come autorità è il modo in cui reti non correlate finiscono per essere instradate.

Chiedi i prefissi approvati

Ottieni gli intervalli di destinazione da chi gestisce la VPN o la rete. Possono esserci più prefissi distinti e un server DNS privato in una sede separata, che spesso viene dimenticato finché i nomi non falliscono. Registrali come elenco approvato con un proprietario e una data, non come un intervallo ricostruito da un esempio. Se l’elenco è lungo, è un’informazione sulla rete e non un invito a riassumerla in qualcosa di più ampio.

Una ricerca delle rotte in sola lettura sul Mac, rivolta alla destinazione che ti interessa, mostra quale percorso è in uso adesso. È il comportamento attuale, non un’autorizzazione.

Controlla la sovrapposizione prima di applicare qualsiasi cosa

Confronta i prefissi approvati con ogni intervallo locale prima di applicarli: LAN domestica, bridge dei contenitori, reti di macchine virtuali e qualsiasi altra VPN. Una rotta precisa verso l’ufficio non può ancora dirti quale dispositivo a quell’indirizzo intendevi quando lo stesso intervallo esiste anche localmente; la tabella non ha questo concetto. La sovrapposizione produce sintomi che sembrano servizi rotti più che errori di instradamento, e sono difficili da diagnosticare a posteriori.

Fai installare i prefissi al proprietario che ne fornisce supporto, tramite la configurazione del client stesso o le rotte spinte dal server, così che una riconnessione li ripristini invece di dipendere da un comando che qualcuno ha digitato una volta.

Una rotta non è un accesso

Instradare un prefisso nel tunnel non concede accesso ai servizi al suo interno. Il gateway deve consentire il traffico, la destinazione deve accettarlo e deve esistere un percorso di ritorno, e ciascuno può fallire indipendentemente dalla rotta. Prova un servizio previsto dopo aver messo la rotta, poi conferma che una risorsa non correlata viene ancora rifiutata. Una rotta che raggiunge un firewall non è la stessa cosa di una connessione che funziona.

Documenta insieme l’elenco dei prefissi, il controllo delle sovrapposizioni e il proprietario. Quando un indirizzo cambia, sono questi tre ciò di cui ha bisogno la persona successiva.

Il prefisso è un accordo sui confini. Trattalo così e la rotta smette di essere un’ipotesi.