Pilih ruang alamat VPN mengikut peruntukan, bukan mengikut ketersembunyian

Awalan yang kelihatan luar biasa terasa seperti jalan keluar daripada konflik alamat rumah berbanding pejabat, dan biasanya bukan. Setiap blok dalam daftar IPv4 tujuan khas mempunyai pemilik, tujuan dan sebab ia wujud, dan meminjam satu kerana ia kelihatan tenang hanya memindahkan perlanggaran itu dan bukannya membuangnya. Laksanakan ini sebagai urutan: baca peruntukan, inventori apa yang sudah bertindih, dan hanya kemudian putuskan sama ada anda menomborkan semula, menterjemah atau menghasilkan ruang baharu. Urutan penting kerana langkah ketiga bergantung pada apa yang ditemui oleh dua langkah pertama.

Baca peruntukan sebelum meminjam julat

Daftar tujuan khas IANA memisahkan julat yang merupakan ruang peribadi boleh guna semula daripada julat yang menjalankan satu tujuan teknikal tertentu. Penggunaan peribadi, ruang alamat dikongsi, penanda aras dan blok dokumentasi kelihatan sama dalam hamparan dan berkelakuan sangat berbeza sebaik sahaja dihalakan.

Dua awalan yang berbeza hanya pada oktet kedua bukan blok yang sama: 198.18.0.0/15 membawa tempahan penanda aras, manakala 192.18.0.0/16 tidak membawa apa-apa seumpamanya. Nombor yang hanya menyerupai julat terpelihara tidak mewarisi maksudnya. Kekeliruan ini cukup biasa untuk memerlukan pandangan kedua sebelum ia sampai ke peraturan tembok api.

Produk kadangkala sengaja menggunakan julat khas dalam lapisan koordinasi, dan itulah reka bentuk mereka yang perlu didokumenkan. Itu tidak menjadikan julat yang sama sebagai ruang lapang untuk LAN yang tidak berkaitan. Ruang awam juga bukan tempat persembunyian: laluan peribadi ke alamat milik orang lain mengalihkan trafik yang sepatutnya menuju ke destinasinya yang sah.

Inventori pertindihan yang sudah anda ada

Sebelum memilih awalan, senaraikan setiap rangkaian yang akan boleh dicapai daripada terowong. Tapak, kumpulan klien, VPC awan dan pautan rakan kongsi semuanya dikira, dan pautan rakan kongsi ialah yang orang lupa sehingga percubaan sambungan pertama gagal.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Letakkan keputusan dalam satu jadual dengan pemilik setiap julat di sebelahnya. Julat yang anda tidak dapat menamakan pemiliknya ialah julat yang anda tidak dapat menomborkan semula kemudian, dan inventori itulah yang mengubah perdebatan tentang awalan «luar biasa» menjadi keputusan tentang nombor tertentu. Ia juga memberitahu anda sama ada konflik yang anda cuba elakkan itu nyata atau hanya dibayangkan.

Jika rangkaian rumah pekerja jauh menggunakan awalan yang sama dengan LAN pejabat, konflik itu kelihatan dalam inventori dan boleh dikendalikan secara jelas. Itu bukan bukti bahawa blok penanda aras akan menjadi pilihan bijak, dan memperlakukannya begitu ialah cara perlanggaran seterusnya tercipta.

Hasilkan ULA unik dan bukannya menyalin awalan

IPv6 menyelesaikan masalah penggunaan semula dengan mekanisme berbeza dan bukannya nombor yang lebih cantik. RFC 4193 mentakrifkan alamat tempatan unik yang diperuntukkan secara tempatan dengan pengenal global 40-bit pseudo-rawak, yang memberi anda /48 untuk tapak yang sangat tidak mungkin berlanggar dengan tapak orang lain. Kebarangkaliannya tinggi, bukan mutlak, dan awalan ULA masih tidak menyediakan capaian internet.

openssl rand -hex 5

Sepuluh digit perenambelasan ialah empat puluh bit. Letakkan fd di hadapannya dan kumpulkannya dalam /48: output 3f9c1a7b02 menjadi fd3f:9c1a:7b02::/48. Hasilkan satu bagi setiap tapak dan catatkannya, dan bukannya menampal fd00::/48 yang sama mudah di setiap penggunaan.

Kemudian sahkan bahawa seluruh laluan benar-benar bertutur IPv6. Klien, get laluan, laluan, DNS peribadi dan dasar perkhidmatan semuanya mesti bersetuju, dan memberikan awalan kepada terowong tidak membuat aplikasi yang hanya IPv4 menggunakannya.

Rancang pertindihan yang tidak dapat anda buang

Sesetengah pertindihan adalah kekal, biasanya kerana rakan kongsi tidak akan menomborkan semula dan anda tidak boleh memaksanya. Ketika itulah anda sengaja memilih mekanisme yang disokong: penomboran semula di pihak anda, konteks penghalakan terasing atau terjemahan jelas di sempadan. Memilih dengan sengaja bermakna menulis yang mana anda pilih dan mengapa dua yang lain ditolak. Nota itulah yang akan benar-benar dibaca oleh semakan perubahan pada masa hadapan.

Terjemahan mesti mengekalkan laluan pulangan, yang bermakna merekodkan kedua-dua awalan asal dan awalan yang dibentangkan serta memadankannya dengan nama DNS peribadi yang menyelesaikannya. Alias yang dipetakan boleh menjadikan satu sambungan tidak kabur; ia tidak menjadikan alamat asal unik secara global dan ia tidak akan bertahan menghadapi rakan kongsi kedua yang bertindih tanpa pemetaan kedua.

Tuliskan peruntukan itu berserta pengecualiannya

Akhiri dengan dokumen yang menyenaraikan setiap awalan, kategorinya, pemiliknya dan sebab pemilihannya. Tambahkan pengecualian dengan peraturan terjemahan atau penomboran semulanya dan tarikh seseorang meluluskannya. Simpan di sebelah peraturan tembok api yang melaksanakannya, bukan dalam wiki yang tiada siapa membukanya semasa insiden. Dokumen itulah hasil serahan, bukan ringkasannya.

Rekod itulah yang menghalang jurutera seterusnya daripada mencari nombor yang kelihatan lebih asing, dan begitulah masalah ini ditemui semula setiap beberapa tahun di bawah nama baharu. Ia juga memberikan semakan perubahan sesuatu yang konkrit untuk diluluskan dan bukannya pendapat tentang awalan. Tuliskan sekali, pada akhir peruntukan, selagi alasannya masih di hadapan anda.