IPv6 VPN のアドレス計画を一年後も読める状態に保つ方法

アドレス計画に価値があるかは、どのプレフィックスがどの拠点のものか、そして応答がその拠点からどう出るかという二つの問いで決まります。両方に一度で答えれば、保守担当者は誰にも聞かずにピアを変更できます。文書の他のすべては、この二つの答えを支えるためにあります。どちらも支えないものは飾りです。

ピアに触れる前に読み手が答えるべきこと

圧縮はアドレスを整って見せますが、整っていることは構造ではありません。構造とは、事業者がどの範囲を委任したか、あなたがどれを選んだか、どれがクライアントプールか、どれが拠点の背後にあるかを知っていることです。

次の四半期に入って二つ目の拠点を追加する同僚のために書きます。項目が示さない限り、ページ上の何もプレフィックスの出どころを教えてくれません。それを省くと、最初の変更が考古学になります。

計画の各行が担うべきもの

四つの欄、つまりプレフィックスの長さ、所有者、トラフィックの次の行き先、値を配布するコンポーネントがあれば、項目は検証できます。実行中の設定と突き合わせれば、不一致はひとりでに浮かび上がります。先月削除したトンネルを指すネクストホップは、周囲に紛れるどころか即座に誤りに見えます。

今日同じプレフィックスを共有していても、役割は別の行に保ちます。統合すると、後での分割が修正ではなく新しい割り当てのように読めてしまいます。

正規のテキストと設定構文が分かれるところ

RFC 5952 は、小文字、先頭のゼロなし、最長のゼロ群の連続をちょうど一度だけ圧縮するという一つのテキスト表現をアドレスに定めます。メモ、チケット、変更記録でこれを使えば、二つの文書を変換なしで比べられます。同じアドレスの二つの綴りに出会った読み手は、存在しない違いを探し始めます。ここでの一貫性は安上がりで、誤警報の一類を丸ごと消します。

設定ファイルは独自の規則に従い、それは読みやすさの規則ではありません。ポートと組にしたアドレスは、素のアドレスに不要でも角括弧を必要とし、メモから設定ファイルへのコピーはその区別を警告なしに落とします。各欄が使う形式を名指ししなければ、計画は防ぐはずだった転記ミスを招きます。

二つの表記は、それぞれにラベルがあれば問題ありません。ラベルのない混在こそが誤りを招きます。

重複する範囲と欠けた戻り経路が現れるところ

重複は、二つの拠点が同じ範囲に応答するまで何もおかしく見えないため、他の誤りより長く生き残ります。拠点にラベルを付け、例を写すのではなく文書化された手順でローカル一意プレフィックスを生成します。

クライアント一覧は応答がどちら向きに進むかを決して説明しません。トンネルが運ぶピア範囲のそばに LAN ゲートウェイの戻り経路を記録すれば、その記録は要求を受け取って黙ったままの遠隔サブネットを説明します。以下の確認を実機で実行し、項目と比べてください。ip -6 route と食い違う計画は、人が読むのをやめる計画です。

ip -6 route show default
ip -6 route get 2001:db8:2::10
ip -6 addr show dev wg0

到達可能性は許可ではなく、プレフィックスがポリシーを意味することは決してありません。意図するアクセスを、適用される経路のそばに書きます。そうしなければ次の読み手は、計画上のアドレスをその背後のすべてのサービスへ届く許可とみなします。

計画が三つ目の拠点をどう生き延びるか

各プレフィックスを委任、ローカル割り当て、その他の経路のいずれかとして印を付け、動きうるものには動かすプロセスを名指しします。次に、同じ時間帯に変えるべき DNS レコードとファイアウォール規則を列挙します。ルーターで止まるプレフィックス更新は半分しか終わっていないからです。

変更の後、文書を編集する前に、変更が触れたすべての境界の先にある資源へ到達します。先月のネットワークを描いた計画は、人が信頼するだけに、ないより悪いものです。撤回した割り当ては、消えた日付とともに一覧に残し、誰かが誤って再発行しないようにします。秘密はファイルの外に置き、計画はネットワークを説明するものであって、開くものではありません。

計画は変更がレビューされる場所に、それが説明する設定のそばに置きます。誰も読み返さない文書は、それが地図にするネットワークより速く腐ります。