Velg VPN-adresseområde etter tildeling, ikke etter ubemerkhet

Et uvanlig utseende prefiks føles som en flukt fra konflikten mellom hjemme- og kontoradresser, og det er som regel ikke det. Hver blokk i IPv4-registeret for særlige formål har en eier, et formål og en grunn til å eksistere, og å låne en fordi den ser stille ut flytter sammenstøtet i stedet for å fjerne det. Kjør dette som en sekvens: les tildelingen, kartlegg det som allerede overlapper, og bestem først deretter om du omnummererer, oversetter eller genererer nytt rom. Rekkefølgen betyr noe fordi det tredje trinnet avhenger av hva de to første fant.

Les tildelingen før du låner et område

Registeret for særlige formål hos IANA skiller områder som er gjenbrukbart privat rom fra områder som tjener ett bestemt teknisk formål. Privat bruk, delt adresserom, referansemåling og dokumentasjonsblokker ser like ut i et regneark og oppfører seg helt annerledes når de først rutes.

To prefikser som bare skiller seg i den andre oktetten er ikke samme blokk: 198.18.0.0/15 bærer referansereservasjonen, mens 192.18.0.0/16 ikke bærer noe tilsvarende. Et tall som bare ligner et reservert område arver ikke betydningen. Forvekslingen er vanlig nok til å fortjene et nytt blikk før den når en brannmurregel.

Produkter bruker noen ganger bevisst et særskilt område inne i et koordinert overlegg, og det er deres design som skal dokumenteres. Det gjør ikke det samme området til ledig plass for et urelatert LAN. Heller ikke offentlig rom er et skjulested: en privat rute til en adresse som tilhører noen andre, avleder trafikk som var ment for dens legitime destinasjon.

Kartlegg overlappene du allerede har

Før du velger et prefiks, list opp hvert nettverk som vil være tilgjengelig fra tunnelen. Nettsteder, klientpuljer, sky-VPC-er og partnertilkoblinger teller alle, og partnertilkoblingen er den folk glemmer helt til det første tilkoblingsforsøket mislykkes.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Sett resultatene i én tabell med eieren av hvert område ved siden av. Et område du ikke kan navngi en eier for, er et område du ikke kan omnummerere senere, og kartleggingen er det som gjør en diskusjon om «uvanlige» prefikser til en beslutning om konkrete tall. Den forteller deg også om konflikten du prøver å unngå, er reell eller innbilt.

Hvis hjemmenettverket til en fjernarbeider bruker samme prefiks som kontorets LAN, er konflikten synlig i kartleggingen og kan håndteres eksplisitt. Det er ikke bevis for at en referanseblokk ville være et klokt valg, og nettopp en slik behandling skaper neste sammenstøt.

Generer en unik ULA i stedet for å kopiere et prefiks

IPv6 løser gjenbruksproblemet med en annen mekanisme i stedet for et penere tall. RFC 4193 definerer lokalt tildelte unike lokale adresser med en pseudo-tilfeldig 40-bit global identifikator, noe som gir deg et /48 for et nettsted som svært usannsynlig kolliderer med noen andres. Sannsynligheten er høy, ikke absolutt, og et ULA-prefiks gir fortsatt ingen internettilgang.

openssl rand -hex 5

Ti heksadesimale sifre er førti bit. Sett fd foran, og grupper dem i /48: en utgang på 3f9c1a7b02 blir fd3f:9c1a:7b02::/48. Generer ett per nettsted og noter det, i stedet for å lime inn det samme bekveme fd00::/48 i hver utrulling.

Bekreft deretter at hele veien faktisk snakker IPv6. Klienter, gateway, ruter, privat DNS og tjenestepolicy må alle være enige, og tildeling av et prefiks til tunnelen får ikke en IPv4-bare applikasjon til å bruke det.

Planlegg overlappen du ikke kan fjerne

Noen overlapper er permanente, vanligvis fordi en partner ikke vil omnummerere og du ikke kan tvinge dem. Da velger du bevisst en støttet mekanisme: omnummerering på din side, en isolert rutekontekst eller eksplisitt oversettelse ved en grense. Bevisst valg betyr å skrive ned hvilken du valgte og hvorfor de to andre ble avvist. Den noten er det en fremtidig endringsvurdering faktisk leser.

Oversettelse må bevare returveien, noe som betyr å registrere både det opprinnelige og det presenterte prefikset og koble dem til de private DNS-navnene som løses i dem. Et tilordnet alias kan gjøre én tilkobling entydig; det gjør ikke de opprinnelige adressene globalt unike, og det overlever ikke en annen overlappende partner uten en annen tilordning.

Skriv ned tildelingen med unntaket sitt

Avslutt med et dokument som lister opp hvert prefiks, dets kategori, dets eier og grunnen til valget. Legg til unntakene med deres oversettelses- eller omnummereringsregel og datoen noen godkjente dem. Oppbevar det ved siden av brannmurreglene som implementerer det, i stedet for i en wiki ingen åpner under en hendelse. Dokumentet er leveransen, ikke et sammendrag av den.

Den registreringen er det som hindrer den neste ingeniøren i å lete etter et merkeligere tall, og det er slik dette problemet gjenoppdages hvert par år under et nytt navn. Det gir også en endringsvurdering noe konkret å godkjenne i stedet for en mening om prefikser. Skriv det én gang, på slutten av tildelingen, mens begrunnelsen fortsatt er foran deg.