აირჩიეთ VPN მისამართების სივრცე განაწილებით და არა დაფარვით
საორიენტირო, საერთო და დოკუმენტაციის დიაპაზონებს თითოეულს აქვს მფლობელი და მიზანი. აირჩიეთ VPN სივრცე რეესტრიდან, შემდეგ დაგეგმეთ ის გადაფარვა, რომლის მოცილებაც არ შეგიძლიათ.
უჩვეულოდ გარეგნული პრეფიქსი თითქოს სახლისა და ოფისის მისამართების კონფლიქტიდან გაქცევად გვეჩვენება და, ჩვეულებრივ, ასე არ არის. IPv4 სპეციალური დანიშნულების რეესტრის ყოველ ბლოკს აქვს მფლობელი, მიზანი და არსებობის მიზეზი, და ერთის სესხება იმიტომ, რომ წყნარად გამოიყურება, შეჯახებას გადაადგილებს და არ აშორებს. შეასრულეთ ეს მიმდევრობით: წაიკითხეთ განაწილება, აღრიცხეთ რაც უკვე ემთხვევა და მხოლოდ ამის შემდეგ გადაწყვიტეთ, გადანომრავთ, თარგმნით თუ ახალ სივრცეს ქმნით. რიგი მნიშვნელოვანია, რადგან მესამე ნაბიჯი დამოკიდებულია იმაზე, რაც პირველმა ორმა იპოვა.
წაიკითხეთ განაწილება სანამ დიაპაზონს ისესხებთ
IANA-ს სპეციალური დანიშნულების რეესტრი გამოყოფს განმეორებით გამოსაყენებელ კერძო სივრცეს იმ დიაპაზონებისაგან, რომლებიც ერთ კონკრეტულ ტექნიკურ დანიშნულებას ემსახურება. კერძო გამოყენება, საერთო მისამართების სივრცე, საორიენტირო და დოკუმენტაციის ბლოკები ცხრილში ერთნაირად გამოიყურება და სრულიად სხვაგვარად იქცევიან მარშრუტიზაციის შემდეგ.
| Range | Category | What it means for a VPN plan |
|---|---|---|
| 172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8 | RFC 1918 private use | Reusable by any network, so remote sites may already use the same numbers |
| 100.64.0.0/10 | Shared address space | Intended for provider-side carrier-grade NAT arrangements, not a second private pool |
| 198.18.0.0/15 | Benchmarking | Reserved for test traffic measurement; not spare production space |
| 203.0.113.0/24, 198.51.100.0/24, 192.0.2.0/24 | Documentation (RFC 5737) | Illustration only; a guide that uses them is not assigning them to you |
| 169.254.0.0/16, 240.0.0.0/4 | Link-local, reserved | Never a routed site subnet, whatever the prefix length suggests |
ორი პრეფიქსი, რომლებიც მხოლოდ მეორე ოქტეტში განსხვავდება, ერთი და იგივე ბლოკი არ არის: 198.18.0.0/15 ატარებს საორიენტირო დაცვას, ხოლო 192.18.0.0/16 მსგავსს არაფერს ატარებს. რიცხვი, რომელიც მხოლოდ დაცულ დიაპაზონს ჰგავს, მის მნიშვნელობას არ მემკვიდრეობით იღებს. ეს დაბნეულობა საკმარისად გავრცელებულია, რომ ცეცხლის კედლის წესამდე მისვლამდე მეორე შეხედვას იმსახურებდეს.
პროდუქტები ზოგჯერ განზრახ იყენებენ სპეციალურ დიაპაზონს კოორდინირებული გადაფარვის შიგნით, და ეს მათი დიზაინია, რომელიც უნდა დოკუმენტდეს. ეს იმავე დიაპაზონს თავისუფალ სივრცედ არ აქცევს დაუკავშირებელი LAN-ისთვის. საჯარო სივრცეც არ არის სამალავი: კერძო მარშრუტი სხვის კუთვნილ მისამართამდე გადააქცევს მის კანონიერ დანიშნულებაზე მიმავალ ტრეფიკს.
აღრიცხეთ უკვე არსებული გადაფარვები
სანამ პრეფიქსს აირჩევთ, ჩამოთვალეთ ყოველი ქსელი, რომელიც გვირაბიდან ხელმისაწვდომი იქნება. საიტები, კლიენტების აუზები, ღრუბლოვანი VPC-ები და პარტნიორული კავშირები ყველა ითვლება, და პარტნიორული კავშირია ის, რასაც ადამიანები ავიწყდებიან, სანამ პირველი დაკავშირების მცდელობა ჩაიშლება.
ip -4 route show table all ip -6 route show ip -br addr ip route get 192.168.1.10
ჩასვით შედეგები ერთ ცხრილში თითოეული დიაპაზონის მფლობელთან ერთად. დიაპაზონი, რომლისთვისაც მფლობელს ვერ დაასახელებთ, ის დიაპაზონია, რომელსაც მოგვიანებით ვერ გადანომრავთ, და სწორედ აღრიცხვა აქცევს „უჩვეულო“ პრეფიქსებზე კამათს კონკრეტულ რიცხვებზე გადაწყვეტილებად. ის ასევე გეუბნებათ, თქვენ მიერ თავიდან ასაცილებელი კონფლიქტი რეალურია თუ წარმოსახვითი.
თუ დისტანციური თანამშრომლის სახლის ქსელი იმავე პრეფიქსს იყენებს, რასაც ოფისის LAN, ეს კონფლიქტი აღრიცხვაში ჩანს და მისი ცალსახად მოგვარება შეიძლება. ეს არ არის მტკიცებულება, რომ საორიენტირო ბლოკი ჭკვიანური არჩევანი იქნებოდა, და სწორედ ასე ვიქცევით იბადება შემდეგი შეჯახება.
შექმენით უნიკალური ULA პრეფიქსის კოპირების ნაცვლად
IPv6 გადაფარვის პრობლემას სხვა მექანიზმით წყვეტს და არა ლამაზი რიცხვით. RFC 4193 განსაზღვრავს ლოკალურად მინიჭებულ უნიკალურ ლოკალურ მისამართებს ფსევდო-შემთხვევითი 40-bit გლობალური იდენტიფიკატორით, რაც გაძლევთ /48-ს საიტისთვის, რომლის სხვასთან შეჯახების ალბათობა ძალიან დაბალია. ალბათობა მაღალია, არა აბსოლუტური, და ULA პრეფიქსი კვლავ არ იძლევა ინტერნეტზე წვდომას.
openssl rand -hex 5
ათი თექვსმეტობითი ციფრი ორმოცი ბიტია. წინ დაუწერეთ fd და დააჯგუფეთ /48-ში: გამოსავალი 3f9c1a7b02 გახდება fd3f:9c1a:7b02::/48. შექმენით ერთი თითოეული საიტისთვის და ჩაწერეთ, ყოველ განლაგებაში იმავე მოხერხებული fd00::/48-ის ჩასმის ნაცვლად.
შემდეგ დაადასტურეთ, რომ მთელი გზა ნამდვილად IPv6-ზე საუბრობს. კლიენტები, კარიბჭე, მარშრუტები, კერძო DNS და სერვისის პოლიტიკა ყველა უნდა შეთანხმდეს, და გვირაბზე პრეფიქსის მინიჭება მხოლოდ IPv4-ზე მომუშავე აპლიკაციას არ აიძულებს მის გამოყენებას.
დაგეგმეთ გადაფარვა, რომლის მოცილებაც არ შეგიძლიათ
ზოგი გადაფარვა მუდმივია, ჩვეულებრივ იმიტომ, რომ პარტნიორი არ გადანომრავს და თქვენ ვერ აიძულებთ. მაშინ განზრახ ირჩევთ მხარდაჭერილ მექანიზმს: გადანომრვა თქვენს მხარეს, იზოლირებული მარშრუტიზაციის კონტექსტი ან მკაფიო თარგმანი საზღვარზე. განზრახ არჩევა ნიშნავს ჩაწეროთ, რომელი აირჩიეთ და რატომ უარყავით დანარჩენი ორი. სწორედ ამ ჩანაწერს წაიკითხავს მომავალი ცვლილებების მიმოხილვა.
თარგმანმა უნდა შეინარჩუნოს დაბრუნების გზა, რაც ნიშნავს ჩაწეროთ როგორც თავდაპირველი, ისე წარმოდგენილი პრეფიქსი და შეუსაბამოთ იმ კერძო DNS სახელებს, რომლებიც მათში იხსნება. დამაპებულ ალიასს შეუძლია ერთი კავშირი ცალსახა გახადოს; ის თავდაპირველ მისამართებს გლობალურად უნიკალურს არ ხდის და მეორე დამაპების გარეშე მეორე გადამფარავ პარტნიორს ვერ გაუძლებს.
ჩაწერეთ განაწილება მისი გამონაკლისით
დაასრულეთ დოკუმენტით, რომელიც ჩამოთვლის ყოველ პრეფიქსს, მის კატეგორიას, მფლობელს და არჩევანის მიზეზს. დაამატეთ გამონაკლისები მათი თარგმანის ან გადანომრვის წესით და თარიღით, როცა ვინმემ დაამტკიცა ისინი. შეინახეთ ის ცეცხლის კედლის იმ წესების გვერდით, რომლებიც ახორციელებენ მას და არა ვიკიში, რომელსაც ინციდენტის დროს არავინ არ ხსნის. დოკუმენტია მიწოდებადი შედეგი და არა მისი შეჯამება.
სწორედ ეს ჩანაწერი უშლის ხელს შემდეგ ინჟინერს უფრო უცნაური რიცხვის ძებნაში, და სწორედ ასე აღმოჩნდება ეს პრობლემა ხელახლა ყოველ რამდენიმე წელიწადში ახალი სახელით. ის ასევე აძლევს ცვლილებების მიმოხილვას დასამტკიცებელ კონკრეტულ რამეს პრეფიქსებზე აზრის ნაცვლად. დაწერეთ ის ერთხელ, განაწილების ბოლოს, სანამ მსჯელობა ჯერ კიდევ თქვენს წინაშეა.