Kies de VPN-adresruimte op basis van toewijzing, niet van verborgenheid

Een ongebruikelijk uitziende prefix voelt als een ontsnapping aan het adresconflict tussen thuis en kantoor, en dat is het meestal niet. Elk blok in het IPv4-register voor bijzondere doeleinden heeft een eigenaar, een doel en een reden om te bestaan, en er een lenen omdat het rustig lijkt verplaatst de botsing in plaats van hem op te lossen. Voer dit uit als een reeks: lees de toewijzing, inventariseer wat al overlapt en beslis pas daarna of u hernummert, vertaalt of nieuwe ruimte genereert. De volgorde is belangrijk omdat de derde stap afhangt van wat de eerste twee vonden.

Lees de toewijzing voordat u een bereik leent

Het register voor bijzondere doeleinden van IANA scheidt bereiken die herbruikbare particuliere ruimte zijn van bereiken die één specifiek technisch doel dienen. Particulier gebruik, gedeelde adresruimte, benchmark en documentatieblokken lijken in een spreadsheet op elkaar en gedragen zich volstrekt anders zodra ze worden gerouteerd.

Twee prefixen die alleen in het tweede octet verschillen zijn niet hetzelfde blok: 198.18.0.0/15 draagt de benchmark-reservering, terwijl 192.18.0.0/16 niets dergelijks draagt. Een nummer dat alleen op een gereserveerd bereik lijkt, erft de betekenis ervan niet. Deze verwarring is algemeen genoeg om een tweede blik te verdienen voordat zij in een firewallregel belandt.

Producten gebruiken soms bewust een bijzonder bereik binnen een gecoördineerde overlay, en dat is hun ontwerp dat gedocumenteerd moet worden. Dat maakt hetzelfde bereik nog geen vrije ruimte voor een niet-verwant LAN. Ook openbare ruimte is geen schuilplaats: een particuliere route naar een adres dat van iemand anders is, leidt verkeer om dat voor de rechtmatige bestemming bedoeld was.

Inventariseer de overlappingen die u al hebt

Voordat u een prefix kiest, lijst u elk netwerk op dat via de tunnel bereikbaar zal zijn. Vestigingen, clientpools, cloud-VPC's en partnerverbindingen tellen allemaal mee, en de partnerverbinding is degene die mensen vergeten tot de eerste verbindingspoging mislukt.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Zet de resultaten in één tabel met de eigenaar van elk bereik ernaast. Een bereik waarvoor u geen eigenaar kunt noemen, is een bereik dat u later niet kunt hernummeren, en de inventarisatie is wat een discussie over «ongebruikelijke» prefixen verandert in een beslissing over concrete nummers. Zij vertelt u ook of het conflict dat u probeert te vermijden echt of denkbeeldig is.

Als het thuisnetwerk van een thuiswerker dezelfde prefix gebruikt als het kantoor-LAN, is dat conflict zichtbaar in de inventarisatie en kan het expliciet worden behandeld. Dat is geen bewijs dat een benchmarkblok een slimme keuze zou zijn, en juist zo'n behandeling zorgt voor de volgende botsing.

Genereer een unieke ULA in plaats van een prefix te kopiëren

IPv6 lost het hergebruikprobleem op met een ander mechanisme in plaats van een mooier nummer. RFC 4193 definieert lokaal toegewezen unieke lokale adressen met een pseudo-willekeurige 40-bit globale identificatie, wat u een /48 geeft voor een locatie die zeer onwaarschijnlijk met die van iemand anders botst. De kans is groot, niet absoluut, en een ULA-prefix biedt nog steeds geen internetbereikbaarheid.

openssl rand -hex 5

Tien hexadecimale cijfers zijn veertig bits. Zet fd ervoor en groepeer ze in de /48: een uitvoer van 3f9c1a7b02 wordt fd3f:9c1a:7b02::/48. Genereer er één per locatie en noteer die, in plaats van dezelfde handige fd00::/48 in elke implementatie te plakken.

Bevestig daarna dat het hele pad werkelijk IPv6 spreekt. Clients, gateway, routes, particuliere DNS en dienstbeleid moeten allemaal overeenstemmen, en het toewijzen van een prefix aan de tunnel zorgt er niet voor dat een toepassing die alleen IPv4 kent, die gaat gebruiken.

Plan de overlap die u niet kunt verwijderen

Sommige overlappingen zijn permanent, meestal omdat een partner niet hernummert en u dat niet kunt afdwingen. Dan kiest u bewust een ondersteund mechanisme: hernummering aan uw kant, een geïsoleerde routeringscontext of expliciete vertaling aan een grens. Bewust kiezen betekent opschrijven welke u hebt gekozen en waarom de andere twee werden afgewezen. Die notitie is wat een toekomstige wijzigingsbeoordeling echt leest.

Vertaling moet het terugpad behouden, wat betekent dat u zowel het oorspronkelijke als het gepresenteerde prefix vastlegt en die koppelt aan de particuliere DNS-namen die erin oplossen. Een toegewezen alias kan één verbinding ondubbelzinnig maken; hij maakt de oorspronkelijke adressen niet wereldwijd uniek en hij overleeft geen tweede overlappende partner zonder een tweede toewijzing.

Schrijf de toewijzing op met haar uitzondering

Sluit af met een document dat elk prefix, de categorie, de eigenaar en de reden van de keuze vermeldt. Voeg de uitzonderingen toe met hun vertaal- of hernummerregel en de datum waarop iemand ze heeft goedgekeurd. Bewaar het naast de firewallregels die het implementeren, niet in een wiki die niemand tijdens een incident opent. Het document is de oplevering, niet een samenvatting ervan.

Die registratie is wat de volgende engineer ervan weerhoudt een vreemder uitziend nummer te zoeken, en zo wordt dit probleem elke paar jaar onder een nieuwe naam opnieuw ontdekt. Het geeft een wijzigingsbeoordeling ook iets concreets om goed te keuren in plaats van een mening over prefixen. Schrijf het één keer, aan het einde van de toewijzing, terwijl de redenering nog voor u ligt.