VPN мекенжай кеңістігін жасырындық бойынша емес, бөлу бойынша таңдаңыз
Салыстырмалы, ортақ және құжаттама ауқымдарының әрқайсысының иесі мен мақсаты бар. VPN кеңістігін тізілімнен таңдап, содан кейін жоя алмайтын қабаттасуды жоспарлаңыз.
Ерекше көрінетін префикс үй мен кеңсе мекенжайларының қақтығысынан құтылу жолы болып көрінеді, бірақ әдетте олай емес. IPv4 арнайы мақсаттар тізіліміндегі әрбір блоктың иесі, мақсаты және болу себебі бар, ал тыныш көрінгені үшін біреуін қарызға алу қақтығысты жояр орнына орнын ауыстырады. Мұны реттілік ретінде орындаңыз: бөлуді оқыңыз, қазірдің өзінде қабаттасып жатқанын түгендеңіз, содан кейін ғана қайта нөмірлейсіз бе, аударасыз ба әлде жаңа кеңістік жасайсыз ба, соны шешіңіз. Реттілік маңызды, өйткені үшінші қадам алғашқы екеуі тапқан нәрсеге байланысты.
Ауқымды қарызға алмас бұрын бөлуді оқыңыз
IANA-ның арнайы мақсаттар тізілімі қайта пайдалануға болатын жеке кеңістік болып табылатын ауқымдарды бір нақты техникалық мақсатқа қызмет ететін ауқымдардан ажыратады. Жеке пайдалану, ортақ мекенжай кеңістігі, салыстырмалы және құжаттама блоктары кестеде бірдей көрінеді және маршрутталғаннан кейін мүлде басқаша әрекет етеді.
| Range | Category | What it means for a VPN plan |
|---|---|---|
| 172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8 | RFC 1918 private use | Reusable by any network, so remote sites may already use the same numbers |
| 100.64.0.0/10 | Shared address space | Intended for provider-side carrier-grade NAT arrangements, not a second private pool |
| 198.18.0.0/15 | Benchmarking | Reserved for test traffic measurement; not spare production space |
| 203.0.113.0/24, 198.51.100.0/24, 192.0.2.0/24 | Documentation (RFC 5737) | Illustration only; a guide that uses them is not assigning them to you |
| 169.254.0.0/16, 240.0.0.0/4 | Link-local, reserved | Never a routed site subnet, whatever the prefix length suggests |
Тек екінші октетте ерекшеленетін екі префикс бір блок емес: 198.18.0.0/15 салыстырмалы қорды алып жүреді, ал 192.18.0.0/16 ондай ештеңе алып жүрмейді. Тек қорланған ауқымға ұқсайтын сан оның мағынасын мұра етпейді. Бұл шатасу өрт қабырғасы ережесіне жетпей тұрып екінші көзқарасқа лайық дәрежеде кең таралған.
Өнімдер кейде үйлестірілген жабынның ішінде арнайы ауқымды әдейі пайдаланады және бұл олардың құжатталуға тиіс дизайны. Бұл сол ауқымды байланысы жоқ LAN үшін бос кеңістік етпейді. Қоғамдық кеңістік те жасырынатын жер емес: басқаға тиесілі мекенжайға жеке маршрут оның заңды межелігіне арналған трафикті бұрып жібереді.
Қазірдің өзінде бар қабаттасуларды түгендеңіз
Префиксті таңдамас бұрын туннельден қолжетімді болатын әрбір желіні тізімдеңіз. Сайттар, клиент пулдары, бұлттық VPC және серіктес байланыстарының барлығы есепке алынады, ал серіктес байланысы — адамдар бірінші қосылу әрекеті сәтсіз болғанша ұмытып кететін нәрсе.
ip -4 route show table all ip -6 route show ip -br addr ip route get 192.168.1.10
Нәтижелерді әр ауқымның иесімен бірге бір кестеге орналастырыңыз. Иесін атай алмайтын ауқым — кейін қайта нөмірлей алмайтын ауқым, және дәл түгендеу «ерекше» префикстер туралы дауды нақты сандар туралы шешімге айналдырады. Ол сондай-ақ қашқыңыз келетін қақтығыстың шынайы немесе қиял екенін айтады.
Егер қашықтағы қызметкердің үй желісі кеңсенің LAN желісімен бірдей префиксті пайдаланса, бұл қақтығыс түгендеуде көрінеді және оны анық шешуге болады. Бұл салыстырмалы блоктың ақылды таңдау болатынына дәлел емес, және осылай қарау келесі қақтығысты жасаудың жолы.
Префиксті көшірудің орнына бірегей ULA жасаңыз
IPv6 қайта пайдалану мәселесін әдемірек санмен емес, басқа механизммен шешеді. RFC 4193 жергілікті тағайындалған бірегей жергілікті мекенжайларды псевдо-кездейсоқ 40-bit ғаламдық идентификатормен анықтайды, бұл сізге басқа біреудің сайтымен соқтығысу ықтималдығы өте төмен сайт /48 береді. Ықтималдық жоғары, бірақ абсолютті емес, және ULA префиксі әлі де интернетке қолжетімділікті қамтамасыз етпейді.
openssl rand -hex 5
Он он алтылық цифр қырық бит. Олардың алдына fd қойып, /48 ішінде топтастырыңыз: 3f9c1a7b02 шығысы fd3f:9c1a:7b02::/48 болады. Әр сайт үшін біреуін жасап жазып қойыңыз, әр орналастыруға сол қолайлы fd00::/48 жапсырудың орнына.
Содан кейін бүкіл жолдың шынымен IPv6 сөйлейтінін растаңыз. Клиенттер, шлюз, маршруттар, жеке DNS және қызмет саясатының барлығы келісуі керек, ал туннельге префикс тағайындау тек IPv4-пен жұмыс істейтін қолданбаны оны пайдалануға мәжбүрлемейді.
Жоя алмайтын қабаттасуды жоспарлаңыз
Кейбір қабаттасулар тұрақты, әдетте серіктес қайта нөмірлемейді және сіз оны мәжбүрлей алмайсыз. Сол кезде қолдау көрсетілген механизмді әдейі таңдайсыз: өз жағыңызда қайта нөмірлеу, оқшауланған маршруттау контексті немесе шекарада анық аударма. Әдейі таңдау дегеніміз қайсын таңдағаныңызды және қалған екеуі неге қабылданбағанын жазу. Дәл сол жазбаны болашақ өзгерістер шолуы шын мәнінде оқиды.
Аударма қайту жолын сақтауы керек, яғни түпнұсқа және ұсынылған префикстің екеуін де жазып, оларға шешілетін жеке DNS атауларымен сәйкестендіру қажет. Сәйкестендірілген бүркеншік ат бір қосылымды бірмәнді ете алады; ол түпнұсқа мекенжайларды ғаламдық бірегей етпейді және екінші сәйкестендірусіз екінші қабаттасатын серіктеске төтеп бере алмайды.
Бөлуді оның ерекшелігімен бірге жазыңыз
Әр префиксті, оның санатын, иесін және таңдау себебін тізімдейтін құжатпен аяқтаңыз. Ерекшеліктерді олардың аударма немесе қайта нөмірлеу ережесімен және біреу оларды мақұлдаған күнмен қосыңыз. Оны іске асыратын өрт қабырғасы ережелерінің жанында ұстаңыз, оқиға кезінде ешкім ашпайтын уикиде емес. Құжат — тапсырылатын нәтиже, оның қысқаша мазмұны емес.
Дәл сол жазба келесі инженердің одан да оғаш көрінетін санды іздеуіне жол бермейді, және осылай бұл мәселе әр бірнеше жыл сайын жаңа атпен қайта ашылады. Ол сондай-ақ өзгерістер шолуына префикстер туралы пікірдің орнына мақұлдайтын нақты нәрсе береді. Оны бір рет, бөлудің соңында, дәлел әлі алдыңызда тұрғанда жазыңыз.