VPN 주소 공간은 할당으로 고르고, 은폐로 고르지 않습니다

특이해 보이는 프리픽스는 집과 사무실의 주소 충돌에서 벗어나는 길처럼 느껴지지만 대개 그렇지 않습니다. IPv4 특수 목적 레지스트리의 모든 블록에는 소유자와 목적, 존재 이유가 있으며, 조용해 보인다는 이유로 하나를 빌리면 충돌은 없어지는 것이 아니라 옮겨집니다. 이것을 순서로 실행하십시오. 할당을 읽고, 이미 겹치는 것을 조사한 다음에야 재번호를 할지, 변환할지, 새 공간을 만들지를 결정합니다. 세 번째 단계가 처음 두 단계가 찾은 것에 달려 있으므로 순서가 중요합니다.

범위를 빌리기 전에 할당을 읽으십시오

IANA 특수 목적 레지스트리는 재사용 가능한 사설 공간인 범위와 하나의 특정 기술 목적만을 위한 범위를 구분합니다. 사설 사용, 공유 주소 공간, 벤치마크, 문서용 블록은 스프레드시트에서는 같아 보이지만 라우팅되는 순간 전혀 다르게 동작합니다.

두 번째 옥텟만 다른 두 프리픽스는 같은 블록이 아닙니다. 198.18.0.0/15는 벤치마크 예약을 가지지만 192.18.0.0/16은 그런 것을 가지지 않습니다. 예약 범위와 비슷해 보이는 숫자는 그 의미를 물려받지 않습니다. 이 혼동은 방화벽 규칙에 도달하기 전에 두 번 볼 가치가 있을 만큼 흔합니다.

제품이 조정된 오버레이 안에서 의도적으로 특수 범위를 사용하는 경우가 있으며, 그것은 문서화해야 할 그들의 설계입니다. 그렇다고 같은 범위가 무관한 LAN의 빈 공간이 되지는 않습니다. 공용 공간도 은신처가 아닙니다. 다른 사람의 주소로 가는 사설 경로는 정당한 목적지로 향하던 트래픽을 돌립니다.

이미 있는 중복을 조사하십시오

프리픽스를 고르기 전에 터널에서 도달할 수 있게 될 모든 네트워크를 나열하십시오. 사이트, 클라이언트 풀, 클라우드 VPC, 파트너 연결이 모두 해당되며, 첫 연결 시도가 실패할 때까지 사람들이 잊는 것은 파트너 연결입니다.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

결과를 하나의 표에 각 범위의 소유자와 나란히 두십시오. 소유자를 대지 못하는 범위는 나중에 재번호할 수 없는 범위이며, 이 조사가 「특이한」 프리픽스에 대한 논쟁을 구체적인 숫자에 대한 결정으로 바꿉니다. 피하려는 충돌이 실제인지 상상인지도 알려 줍니다.

원격 근무자의 가정 네트워크가 사무실 LAN과 같은 프리픽스를 쓴다면 그 충돌은 조사에서 보이며 명시적으로 다룰 수 있습니다. 그것은 벤치마크 블록이 현명한 선택이라는 증거가 아니며, 그렇게 다루는 것이 다음 충돌을 만드는 방법입니다.

프리픽스를 복사하는 대신 고유한 ULA를 생성하십시오

IPv6는 재사용 문제를 더 예쁜 숫자가 아니라 다른 메커니즘으로 해결합니다. RFC 4193은 의사 난수 40-bit 전역 식별자를 가진 로컬 할당 고유 로컬 주소를 정의하며, 이는 다른 누구와도 충돌할 가능성이 매우 낮은 사이트용 /48을 줍니다. 확률은 높지만 절대적이지 않으며, ULA 프리픽스는 여전히 인터넷 도달성을 제공하지 않습니다.

openssl rand -hex 5

십육진수 열 자리는 마흔 비트입니다. 앞에 fd를 붙이고 /48로 묶으십시오. 3f9c1a7b02 출력은 fd3f:9c1a:7b02::/48이 됩니다. 모든 배포에 같은 편리한 fd00::/48을 붙여 넣는 대신 사이트마다 하나를 생성해 기록하십시오.

그다음 전체 경로가 실제로 IPv6를 쓰는지 확인하십시오. 클라이언트, 게이트웨이, 경로, 사설 DNS, 서비스 정책이 모두 합의해야 하며, 터널에 프리픽스를 할당한다고 해서 IPv4만 쓰는 애플리케이션이 그것을 쓰게 되지는 않습니다.

없앨 수 없는 중복을 계획하십시오

일부 중복은 영구적이며, 보통 파트너가 재번호를 하지 않고 강제할 수도 없기 때문입니다. 그때 지원되는 메커니즘을 의도적으로 고릅니다. 우리 쪽 재번호, 분리된 라우팅 컨텍스트, 경계에서의 명시적 변환 중 하나입니다. 의도적으로 고른다는 것은 어느 것을 골랐고 왜 나머지 둘을 버렸는지 적는 것입니다. 그 메모를 미래의 변경 검토가 실제로 읽습니다.

변환은 반환 경로를 보존해야 하며, 즉 원래 프리픽스와 제시된 프리픽스를 모두 기록하고 그로 해석되는 사설 DNS 이름과 연결해야 합니다. 매핑된 별칭은 하나의 연결을 모호하지 않게 할 수 있지만, 원래 주소를 전 세계적으로 고유하게 만들지는 않으며 두 번째 매핑 없이는 두 번째 중복 파트너를 견디지 못합니다.

할당을 예외와 함께 적으십시오

각 프리픽스, 그 범주, 소유자, 선택 이유를 나열한 문서로 마무리하십시오. 예외는 그 변환 또는 재번호 규칙과 누군가 승인한 날짜와 함께 추가하십시오. 사고 중에 아무도 열지 않는 위키가 아니라 그것을 구현하는 방화벽 규칙 옆에 두십시오. 문서가 산출물이며 그 요약이 아닙니다.

그 기록이 다음 엔지니어가 더 이상한 숫자를 찾지 않게 막으며, 이 문제가 몇 년마다 새 이름으로 다시 발견되는 방식이기도 합니다. 또한 변경 검토에 프리픽스에 대한 의견 대신 승인할 구체적인 것을 줍니다. 할당이 끝날 때, 근거가 아직 눈앞에 있을 때 한 번 쓰십시오.