Izvēlieties VPN adrešu telpu pēc piešķīruma, nevis pēc apslēptības
Standarta, koplietotajiem un dokumentācijas diapazoniem katram ir īpašnieks un mērķis. Izvēlieties VPN telpu no reģistra un pēc tam plānojiet pārklāšanos, ko nevarat noņemt.
Neparasti izskatošs prefikss šķiet kā izbēgšana no mājas un biroja adrešu konflikta, un parasti tā nav. Katram IPv4 īpašo mērķu reģistra blokam ir īpašnieks, mērķis un pastāvēšanas iemesls, un viena aizņemšanās tāpēc, ka tas izskatās kluss, pārvieto sadursmi, nevis to novērš. Veiciet to kā secību: izlasiet piešķīrumu, uzskaitiet, kas jau pārklājas, un tikai tad izlemiet, vai pārnumurējat, tulkojat vai veidojat jaunu telpu. Secība ir svarīga, jo trešais solis ir atkarīgs no tā, ko atrada pirmie divi.
Izlasiet piešķīrumu, pirms aizņemates diapazonu
IANA īpašo mērķu reģistrs atdala diapazonus, kas ir atkārtoti lietojama privātā telpa, no diapazoniem, kas kalpo vienam konkrētam tehniskam mērķim. Privātā lietošana, koplietotā adrešu telpa, standarts un dokumentācijas bloki izklājlapā izskatās vienādi un pēc maršrutēšanas uzvedas pilnīgi citādi.
| Range | Category | What it means for a VPN plan |
|---|---|---|
| 172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8 | RFC 1918 private use | Reusable by any network, so remote sites may already use the same numbers |
| 100.64.0.0/10 | Shared address space | Intended for provider-side carrier-grade NAT arrangements, not a second private pool |
| 198.18.0.0/15 | Benchmarking | Reserved for test traffic measurement; not spare production space |
| 203.0.113.0/24, 198.51.100.0/24, 192.0.2.0/24 | Documentation (RFC 5737) | Illustration only; a guide that uses them is not assigning them to you |
| 169.254.0.0/16, 240.0.0.0/4 | Link-local, reserved | Never a routed site subnet, whatever the prefix length suggests |
Divi prefiksi, kas atšķiras tikai otrajā oktetā, nav viens un tas pats bloks: 198.18.0.0/15 nes standarta rezervāciju, bet 192.18.0.0/16 neko tādu nes. Skaitlis, kas tikai atgādina rezervētu diapazonu, nemanto tā nozīmi. Šis sajukums ir pietiekami izplatīts, lai būtu pelnījis otru skatienu pirms nonākšanas ugunsmūra noteikumā.
Produkti dažkārt apzināti izmanto īpašu diapazonu koordinētā pārklājumā, un tas ir viņu dizains, kas jādokumentē. Tas nepadara to pašu diapazonu par brīvu vietu nesaistītam LAN. Arī publiskā telpa nav slēptuve: privāts maršruts uz adresi, kas pieder kādam citam, novirza datplūsmu, kas bija paredzēta tās likumīgajai galapunktai.
Uzskaitiet pārklāšanās, kas jums jau ir
Pirms prefiksa izvēles uzskaitiet katru tīklu, kas būs sasniedzams no tuneļa. Vietnes, klientu pūli, mākoņa VPC un partneru savienojumi visi tiek skaitīti, un partnera savienojums ir tas, ko cilvēki aizmirst, līdz pirmā savienojuma mēģinājums neizdodas.
ip -4 route show table all ip -6 route show ip -br addr ip route get 192.168.1.10
Ievietojiet rezultātus vienā tabulā ar katra diapazona īpašnieku blakus. Diapazons, kuram nevarat nosaukt īpašnieku, ir diapazons, kuru vēlāk nevarēsiet pārnumurēt, un tieši uzskaite pārvērš strīdu par «neparastiem» prefiksiem lēmumā par konkrētiem skaitļiem. Tā arī pasaka, vai konflikts, no kura cenšaties izvairīties, ir īsts vai iedomāts.
Ja attālināta darbinieka mājas tīkls izmanto to pašu prefiksu kā biroja LAN, šis konflikts ir redzams uzskaitē un to var skaidri risināt. Tas nav pierādījums, ka standarta bloks būtu gudra izvēle, un tieši šāda attieksme rada nākamo sadursmi.
Ģenerējiet unikālu ULA, nevis kopējiet prefiksu
IPv6 atkārtotas lietošanas problēmu risina ar citu mehānismu, nevis skaistāku skaitli. RFC 4193 definē lokāli piešķirtas unikālas lokālās adreses ar pseidogadījuma 40-bit globālo identifikatoru, kas dod jums /48 vietnei, kura ļoti mazticami sadursies ar kāda cita vietni. Varbūtība ir augsta, ne absolūta, un ULA prefikss joprojām nesniedz interneta sasniedzamību.
openssl rand -hex 5
Desmit heksadecimālie cipari ir četrdesmit biti. Pievienojiet priekšā fd un sagrupējiet /48: izvade 3f9c1a7b02 kļūst par fd3f:9c1a:7b02::/48. Ģenerējiet vienu katrai vietnei un pierakstiet to, tā vietā lai ielīmētu to pašu ērto fd00::/48 katrā izvietojumā.
Pēc tam pārliecinieties, ka viss ceļš patiešām runā IPv6. Klientiem, vārtejai, maršrutiem, privātajam DNS un pakalpojumu politikai visiem ir jāvienojas, un prefiksa piešķiršana tunelim nepanāk, ka lietojumprogramma, kas darbojas tikai ar IPv4, to izmantos.
Plānojiet pārklāšanos, ko nevarat noņemt
Dažas pārklāšanās ir pastāvīgas, parasti tāpēc, ka partneris nepārnumurēs un jūs nevarat viņu piespiest. Tad jūs apzināti izvēlaties atbalstītu mehānismu: pārnumurēšanu savā pusē, izolētu maršrutēšanas kontekstu vai skaidru tulkojumu uz robežas. Apzināta izvēle nozīmē pierakstīt, kuru izvēlējāties un kāpēc pārējie divi tika noraidīti. Tieši šo piezīmi nākotnes izmaiņu pārskats patiešām lasīs.
Tulkojumam jāsaglabā atgriešanās ceļš, kas nozīmē reģistrēt gan sākotnējo, gan parādīto prefiksu un saskaņot tos ar privātajiem DNS nosaukumiem, kas tajos atrisinās. Kartēts aizstājvārds var padarīt vienu savienojumu viennozīmīgu; tas nepadara sākotnējās adreses globāli unikālas un neizturēs otru pārklājošu partneri bez otrās kartēšanas.
Pierakstiet piešķīrumu kopā ar tā izņēmumu
Noslēdziet ar dokumentu, kas uzskaita katru prefiksu, tā kategoriju, īpašnieku un izvēles iemeslu. Pievienojiet izņēmumus ar to tulkošanas vai pārnumurēšanas noteikumu un datumu, kad kāds tos apstiprināja. Glabājiet to blakus ugunsmūra noteikumiem, kas to īsteno, nevis wiki, ko neviens neatver incidenta laikā. Dokuments ir rezultāts, nevis tā kopsavilkums.
Tieši šis ieraksts neļauj nākamajam inženierim meklēt dīvaināk izskatošu skaitli, un tieši tā šī problēma ik pēc dažiem gadiem tiek atklāta no jauna ar jaunu nosaukumu. Tas arī dod izmaiņu pārskatam ko konkrētu apstiprināt, nevis viedokli par prefiksiem. Pierakstiet to vienreiz, piešķīruma beigās, kamēr pamatojums vēl ir jums priekšā.