Scegliete lo spazio di indirizzi VPN per assegnazione, non per oscurità

Un prefisso dall'aspetto insolito sembra una via di fuga dal conflitto di indirizzi tra casa e ufficio, e di solito non lo è. Ogni blocco nel registro IPv4 degli usi speciali ha un proprietario, uno scopo e una ragione per esistere, e prenderne in prestito uno perché sembra tranquillo sposta la collisione invece di rimuoverla. Eseguitelo come una sequenza: leggete l'assegnazione, inventariate ciò che già si sovrappone e solo allora decidete se rinumerare, tradurre o generare spazio nuovo. L'ordine conta perché il terzo passo dipende da ciò che hanno trovato i primi due.

Leggete l'assegnazione prima di prendere in prestito un intervallo

Il registro degli usi speciali dell'IANA separa gli intervalli che sono spazio privato riutilizzabile da quelli che servono uno scopo tecnico preciso. L'uso privato, lo spazio di indirizzi condiviso, la misura di riferimento e i blocchi di documentazione sembrano uguali in un foglio di calcolo e si comportano in modo del tutto diverso una volta instradati.

Due prefissi che differiscono solo nel secondo ottetto non sono lo stesso blocco: 198.18.0.0/15 porta la riserva di riferimento, mentre 192.18.0.0/16 non porta nulla del genere. Un numero che somiglia soltanto a un intervallo riservato non ne eredita il significato. Questa confusione è abbastanza comune da meritare un secondo sguardo prima di arrivare a una regola del firewall.

I prodotti a volte usano deliberatamente un intervallo speciale dentro una sovrapposizione coordinata, e questo è il loro progetto, da documentare. Ciò non rende lo stesso intervallo spazio libero per una LAN non correlata. Nemmeno lo spazio pubblico è un nascondiglio: una rotta privata verso un indirizzo che appartiene a qualcun altro devia il traffico destinato alla sua destinazione legittima.

Inventariate le sovrapposizioni che avete già

Prima di scegliere un prefisso, elencate ogni rete che sarà raggiungibile dal tunnel. Siti, pool di clienti, VPC nel cloud e collegamenti partner contano tutti, e il collegamento partner è quello che la gente dimentica finché il primo tentativo di connessione non fallisce.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Mettete i risultati in un'unica tabella con il proprietario di ogni intervallo accanto. Un intervallo per cui non sapete indicare un proprietario è un intervallo che non potrete rinumerare in seguito, e l'inventario è ciò che trasforma una discussione su prefissi «insoliti» in una decisione su numeri precisi. Vi dice anche se il conflitto che cercate di evitare è reale o immaginario.

Se la rete domestica di un lavoratore remoto usa lo stesso prefisso della LAN dell'ufficio, quel conflitto è visibile nell'inventario e può essere gestito esplicitamente. Non è la prova che un blocco di riferimento sarebbe una scelta intelligente, ed è così che si crea la collisione successiva.

Generate una ULA unica invece di copiare un prefisso

IPv6 risolve il problema del riutilizzo con un meccanismo diverso invece che con un numero più bello. La RFC 4193 definisce indirizzi locali unici assegnati localmente con un identificatore globale pseudo-casuale di 40-bit, che vi dà una /48 per un sito molto improbabile che entri in collisione con quella di qualcun altro. La probabilità è alta, non assoluta, e un prefisso ULA continua a non offrire raggiungibilità Internet.

openssl rand -hex 5

Dieci cifre esadecimali sono quaranta bit. Prefissatele con fd e raggruppatele nella /48: un output 3f9c1a7b02 diventa fd3f:9c1a:7b02::/48. Generatene uno per sito e annotatelo, invece di incollare lo stesso comodo fd00::/48 in ogni distribuzione.

Poi confermate che l'intero percorso parli davvero IPv6. Client, gateway, rotte, DNS privato e politica del servizio devono tutti concordare, e assegnare un prefisso al tunnel non fa sì che un'applicazione solo IPv4 lo usi.

Pianificate la sovrapposizione che non potete rimuovere

Alcune sovrapposizioni sono permanenti, di solito perché un partner non rinumererà e voi non potete obbligarlo. È allora che scegliete deliberatamente un meccanismo supportato: rinumerazione dal vostro lato, un contesto di routing isolato o traduzione esplicita a un confine. Sceglierlo deliberatamente significa scrivere quale avete scelto e perché gli altri due sono stati scartati. Quella nota è ciò che una futura revisione delle modifiche leggerà davvero.

La traduzione deve preservare il percorso di ritorno, il che significa registrare sia il prefisso originale sia quello presentato e abbinarli ai nomi DNS privati che vi risolvono. Un alias mappato può rendere una connessione inequivocabile; non rende gli indirizzi originali unici a livello globale e non sopravvivrà a un secondo partner sovrapposto senza una seconda mappatura.

Scrivete l'assegnazione con la sua eccezione

Concludete con un documento che elenca ogni prefisso, la sua categoria, il suo proprietario e la ragione della scelta. Aggiungete le eccezioni con la loro regola di traduzione o rinumerazione e la data in cui qualcuno le ha approvate. Tenetelo accanto alle regole del firewall che lo attuano, non in un wiki che nessuno apre durante un incidente. Il documento è il risultato, non un suo riassunto.

Quella registrazione è ciò che impedisce all'ingegnere successivo di cercare un numero dall'aspetto più strano, ed è così che questo problema viene riscoperto ogni pochi anni sotto un nuovo nome. Dà anche a una revisione delle modifiche qualcosa di concreto da approvare invece di un'opinione sui prefissi. Scrivetela una volta, alla fine dell'assegnazione, mentre il ragionamento è ancora davanti a voi.