Изберете VPN адресен простор по распределба, а не по затаеност

Префиксот со невообичаен изглед изгледа како бегство од конфликтот на адреси меѓу домот и канцеларијата, и обично не е. Секој блок во регистарот на IPv4 за специјални намени има сопственик, цел и причина да постои, а позајмувањето еден затоа што изгледа тивок го преместува судирот наместо да го отстрани. Изведете го ова како низа: прочитајте ја распределбата, попишете што веќе се преклопува и само тогаш одлучете дали пренумерирате, преведувате или создавате нов простор. Редоследот е важен, бидејќи третиот чекор зависи од она што го најдоа првите два.

Прочитајте ја распределбата пред да позајмите опсег

Регистарот на IANA за специјални намени ги одделува опсезите што се повеќекратно употреблив приватен простор од опсезите што служат на една конкретна техничка цел. Приватната употреба, заедничкиот адресен простор, референцата и документациските блокови изгледаат исто во табела и се однесуваат сосема поинаку штом ќе бидат рутирани.

Два префикса што се разликуваат само во вториот октет не се истиот блок: 198.18.0.0/15 ја носи референтната резервација, додека 192.18.0.0/16 не носи ништо такво. Број што само наликува на резервиран опсег не го наследува неговото значење. Оваа забуна е доволно честа за да заслужи втор поглед пред да стигне до правило на огнен ѕид.

Производите понекогаш намерно користат посебен опсег во координирано преклопување, и тоа е нивниот дизајн што треба да се документира. Тоа не го прави истиот опсег слободен простор за неповрзана LAN. Ниту јавниот простор не е засолниште: приватна рута до адреса што му припаѓа на некој друг го пренасочува сообраќајот наменет за нејзината легитимна дестинација.

Попишете ги преклопувањата што веќе ги имате

Пред да изберете префикс, наведете ја секоја мрежа што ќе биде достапна од тунелот. Локациите, клиентските базени, облачните VPC и партнерските врски сите се сметаат, а партнерската врска е онаа што луѓето ја забораваат додека првиот обид за поврзување не пропадне.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Ставете ги резултатите во една табела со сопственикот на секој опсег покрај неа. Опсег за кој не можете да наведете сопственик е опсег што подоцна не можете да го пренумерирате, и токму пописот го претвора спорот за «невообичаени» префикси во одлука за конкретни броеви. Тој исто така ви кажува дали конфликтот што се обидувате да го избегнете е вистински или замислен.

Ако домашната мрежа на далечен работник го користи истиот префикс како канцелариската LAN, тој конфликт е видлив во пописот и може експлицитно да се реши. Тоа не е доказ дека референтен блок би бил паметен избор, и токму таквиот третман го создава следниот судир.

Генерирајте единствена ULA наместо да копирате префикс

IPv6 го решава проблемот со повторна употреба со друг механизам наместо со поубав број. RFC 4193 дефинира локално доделени единствени локални адреси со псевдослучаен 40-bit глобален идентификатор, што ви дава /48 за локација што многу малку веројатно ќе се судри со нечија друга. Веројатноста е висока, не апсолутна, и ULA префиксот се уште не обезбедува достапност до интернет.

openssl rand -hex 5

Десет хексадецимални цифри се четириесет бита. Ставете fd пред нив и групирајте ги во /48: излезот 3f9c1a7b02 станува fd3f:9c1a:7b02::/48. Генерирајте еден по локација и запишете го, наместо да го лепите истиот удобен fd00::/48 во секое распоредување.

Потоа потврдете дека целиот пат навистина зборува IPv6. Клиентите, портата, рутите, приватниот DNS и политиката за услуги мора сите да се согласат, а доделувањето префикс на тунелот не прави апликација што работи само со IPv4 да го користи.

Планирајте го преклопувањето што не можете да го отстраните

Некои преклопувања се трајни, обично затоа што партнерот нема да пренумерира и не можете да го присилите. Тогаш намерно избирате поддржан механизам: пренумерирање на ваша страна, изолиран контекст за рутирање или експлицитен превод на граница. Намерниот избор значи да запишете кој сте го избрале и зошто другите два се отфрлени. Токму таа белешка ќе ја прочита идната проверка на промени.

Преводот мора да го зачува повратниот пат, што значи да се запишат и оригиналниот и претставениот префикс и да се усогласат со приватните DNS имиња што се решаваат во нив. Мапиран алијас може да направи една врска недвосмислена; тој не ги прави оригиналните адреси глобално единствени и нема да издржи втор партнер со преклопување без второ мапирање.

Запишете ја распределбата заедно со нејзиниот исклучок

Завршете со документ што го наведува секој префикс, неговата категорија, сопственикот и причината за изборот. Додајте ги исклучоците со нивното правило за превод или пренумерирање и датумот кога некој ги одобрил. Чувајте го до правилата на огнениот ѕид што го спроведуваат, а не во вики што никој не го отвора за време на инцидент. Документот е испораката, не неговиот резиме.

Токму тој запис го спречува следниот инженер да бара почудно изгледачки број, и токму така овој проблем се открива повторно на секои неколку години под ново име. Тој исто така и дава на проверката на промени нешто конкретно за одобрување наместо мислење за префикси. Запишете го еднаш, на крајот од распределбата, додека образложението се уште е пред вас.