VPN adresų erdvę rinkitės pagal paskirstymą, o ne pagal neaiškumą
Etaloninės, bendros ir dokumentacijos sritys turi kiekviena savo savininką ir tikslą. Pasirinkite VPN erdvę iš registro, tada suplanuokite persidengimą, kurio negalite pašalinti.
Neįprastai atrodantis priešdėlis atrodo kaip pabėgimas iš namų ir biuro adresų konflikto, ir dažniausiai juo nėra. Kiekvienas IPv4 specialios paskirties registro blokas turi savininką, paskirtį ir egzistavimo priežastį, o skolinantis vieną todėl, kad jis atrodo tylus, susidūrimas perkeliamas, o ne pašalinamas. Atlikite tai kaip seką: perskaitykite paskirstymą, suinventorinkite, kas jau persidengia, ir tik tada nuspręskite, ar pernumeruosite, versite, ar kursite naują erdvę. Tvarka svarbi, nes trečias žingsnis priklauso nuo to, ką rado pirmieji du.
Perskaitykite paskirstymą prieš skolindami sritį
IANA specialios paskirties registras atskiria sritis, kurios yra daugkartinio naudojimo privati erdvė, nuo sričių, kurios tarnauja vienam konkrečiam techniniam tikslui. Privatus naudojimas, bendra adresų erdvė, etalonas ir dokumentacijos blokai skaičiuoklėje atrodo vienodai, o po maršrutizavimo elgiasi visiškai kitaip.
| Range | Category | What it means for a VPN plan |
|---|---|---|
| 172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8 | RFC 1918 private use | Reusable by any network, so remote sites may already use the same numbers |
| 100.64.0.0/10 | Shared address space | Intended for provider-side carrier-grade NAT arrangements, not a second private pool |
| 198.18.0.0/15 | Benchmarking | Reserved for test traffic measurement; not spare production space |
| 203.0.113.0/24, 198.51.100.0/24, 192.0.2.0/24 | Documentation (RFC 5737) | Illustration only; a guide that uses them is not assigning them to you |
| 169.254.0.0/16, 240.0.0.0/4 | Link-local, reserved | Never a routed site subnet, whatever the prefix length suggests |
Du priešdėliai, besiskiriantys tik antruoju oktetu, nėra tas pats blokas: 198.18.0.0/15 turi etalono rezervaciją, o 192.18.0.0/16 nieko panašaus neturi. Skaičius, kuris tik primena rezervuotą sritį, neperima jos reikšmės. Ši painiava pakankamai dažna, kad nusipelnytų antro žvilgsnio prieš pasiekiant ugniasienės taisyklę.
Produktai kartais sąmoningai naudoja specialią sritį suderintoje perdangoje, ir tai yra jų dizainas, kurį reikia dokumentuoti. Tai nepadaro tos pačios srities laisva vieta nesusijusiam LAN. Vieša erdvė taip pat nėra slėptuvė: privatus maršrutas į adresą, priklausantį kam nors kitam, nukreipia srautą, skirtą jo teisėtai paskirties vietai.
Suinventorinkite jau turimus persidengimus
Prieš rinkdamiesi priešdėlį, išvardykite kiekvieną tinklą, kuris bus pasiekiamas iš tunelio. Svetainės, klientų telkiniai, debesijos VPC ir partnerių jungtys visi skaičiuojami, o partnerio jungtis yra ta, kurią žmonės pamiršta, kol nepavyksta pirmasis prisijungimo bandymas.
ip -4 route show table all ip -6 route show ip -br addr ip route get 192.168.1.10
Sudėkite rezultatus į vieną lentelę su kiekvienos srities savininku šalia. Sritis, kuriai negalite įvardyti savininko, yra sritis, kurios vėliau negalėsite pernumeruoti, ir būtent inventorius paverčia ginčą apie „neįprastus“ priešdėlius sprendimu dėl konkrečių skaičių. Jis taip pat pasako, ar konfliktas, kurio bandote išvengti, yra tikras, ar įsivaizduotas.
Jei nuotolinio darbuotojo namų tinklas naudoja tą patį priešdėlį kaip biuro LAN, tas konfliktas matomas inventoriuje ir gali būti sprendžiamas aiškiai. Tai nėra įrodymas, kad etaloninis blokas būtų protingas pasirinkimas, ir būtent toks požiūris sukuria kitą susidūrimą.
Sugeneruokite unikalų ULA, o ne kopijuokite priešdėlį
IPv6 pakartotinio naudojimo problemą sprendžia kitu mechanizmu, o ne gražesniu skaičiumi. RFC 4193 apibrėžia vietoje priskirtus unikalius vietinius adresus su pseudoatstitiktiniu 40-bit pasauliniu identifikatoriumi, kuris suteikia jums /48 svetainei, kuri labai mažai tikėtina susidurs su kieno nors kitu. Tikimybė didelė, bet ne absoliuti, o ULA priešdėlis vis tiek nesuteikia interneto pasiekiamumo.
openssl rand -hex 5
Dešimt šešioliktainių skaitmenų yra keturiasdešimt bitų. Pridėkite priekyje fd ir sugrupuokite į /48: išvestis 3f9c1a7b02 tampa fd3f:9c1a:7b02::/48. Sugeneruokite po vieną kiekvienai svetainei ir užsirašykite, o ne įklijuokite tą patį patogų fd00::/48 į kiekvieną diegimą.
Tada patvirtinkite, kad visas kelias tikrai kalba IPv6. Klientai, tinklų sietuvas, maršrutai, privatus DNS ir paslaugų politika turi sutarti, o priešdėlio priskyrimas tuneliui nepriverčia tik IPv4 naudojančios programos juo naudotis.
Suplanuokite persidengimą, kurio negalite pašalinti
Kai kurie persidengimai yra nuolatiniai, dažniausiai todėl, kad partneris nepernumeruos ir jūs negalite jo priversti. Tada sąmoningai renkatės palaikomą mechanizmą: pernumeravimą savo pusėje, atskirą maršrutizavimo kontekstą arba aiškų vertimą ties riba. Sąmoningas pasirinkimas reiškia užrašyti, kurį pasirinkote ir kodėl kiti du buvo atmesti. Būtent šią pastabą ateityje tikrai perskaitys pakeitimų peržiūra.
Vertimas turi išsaugoti grįžtamąjį kelią, tai reiškia įrašyti ir pirminį, ir pateikiamą priešdėlį bei susieti juos su privačiais DNS vardais, kurie į juos rezoliuojasi. Susietas slapyvardis gali padaryti vieną ryšį vienareikšmį; jis nepadaro pradinių adresų globaliai unikalių ir neišgyvens antro persidengiančio partnerio be antro susiejimo.
Užrašykite paskirstymą kartu su jo išimtimi
Užbaikite dokumentu, kuriame išvardyti kiekvienas priešdėlis, jo kategorija, savininkas ir pasirinkimo priežastis. Pridėkite išimtis su jų vertimo ar pernumeravimo taisykle ir data, kada kas nors jas patvirtino. Laikykite jį šalia ugniasienės taisyklių, kurios jį įgyvendina, o ne viki, kurio niekas neatidaro per incidentą. Dokumentas yra rezultatas, o ne jo santrauka.
Būtent šis įrašas neleidžia kitam inžinieriui ieškoti dar keisčiau atrodančio skaičiaus, ir taip ši problema kas kelerius metus vėl atrandama nauju vardu. Jis taip pat duoda pakeitimų peržiūrai ką nors konkretaus patvirtinti, o ne nuomonę apie priešdėlius. Parašykite jį vieną kartą, paskirstymo pabaigoje, kol argumentai dar prieš akis.