Nie zgaduj prefiksu biura z jednego adresu serwera

Zacznij od adresu, który dostałeś, a potem oprzyj się pokusie rozszerzenia go na coś, co wygląda schludnie. Jeden serwer pod 10.22.8.19 nic nie mówi o tym, czy biuro posiada 10.22.8.0/24, 10.22.0.0/16 czy garść rozproszonych /28s. Wybór 10.0.0.0/8 dlatego, że liczba zaczyna się od 10, obejmuje sieci domowe, zakresy kontenerów i łącza partnerskie, których nie miałeś na myśli. Prefiks jest granicą, którą trzeba uzyskać, a nie wyprowadzić.

Długość prefiksu opisuje, ile bitów wiodących jest znaczących; nie opisuje, do kogo należy zakres.

Adres serwera to nie sieć

Serwer, podsieć i lokalizacja to trzy różne rzeczy. Jedna usługa może siedzieć w małej dedykowanej podsieci, podczas gdy reszta biura zajmuje osobne zakresy, a trasa do hosta może być całkowicie właściwa dla usługi, która świadomie ma jeden adres. Przestaje być właściwa, gdy lokalizacja przekierowuje na inny host, uwierzytelnia się przez osobny serwer albo zmienia adres. To te zależności są rzeczywistym wymaganiem i warto o nie zapytać, zanim zainstaluje się jakikolwiek prefiks.

Kalkulator podsieci zamienia znany prefiks na maskę, zakres lub listę hostów. Nie potrafi wywnioskować granicy organizacyjnej z jednej nazwy hosta, a traktowanie jego wyniku jako autorytetu jest tym, jak niepowiązane sieci trafiają do trasowania.

Poproś o zatwierdzone prefiksy

Uzyskaj zakresy docelowe od tego, kto obsługuje VPN albo sieć. Może istnieć kilka odrębnych prefiksów oraz prywatny serwer DNS w innym miejscu, o którym często się zapomina, dopóki nie zawiodą nazwy. Zapisz je jako zatwierdzoną listę z właścicielem i datą, a nie jako zakres odtworzony z przykładu. Jeśli lista jest długa, to informacja o sieci, a nie zaproszenie do streszczenia jej w coś szerszego.

Odczyt wyszukiwania tras na Macu, skierowany na interesujący cię cel, pokazuje, która ścieżka jest teraz używana. To bieżące zachowanie, nie upoważnienie.

Sprawdź nakładanie się zakresów, zanim cokolwiek zastosujesz

Porównaj zatwierdzone prefiksy z każdym zakresem lokalnym przed zastosowaniem: sieć domowa, mostki kontenerów, sieci maszyn wirtualnych i każdy inny VPN. Dokładna trasa do biura nadal nie powie ci, które urządzenie pod tym adresem miałeś na myśli, gdy ten sam zakres istnieje także lokalnie; tabela nie zna takiego pojęcia. Nakładanie się daje objawy wyglądające na zepsute usługi, a nie na błędy trasowania, i trudno je zdiagnozować po fakcie.

Pozwól wspieranemu właścicielowi zainstalować prefiksy, przez konfigurację samego klienta albo trasy wypychane przez serwer, aby ponowne połączenie je odtworzyło, zamiast polegać na poleceniu, które ktoś wpisał raz.

Trasa to nie dostęp

Trasowanie prefiksu do tunelu nie daje dostępu do usług w nim. Brama musi przepuścić ruch, cel musi go przyjąć i musi istnieć ścieżka powrotna, a każde z nich może zawieść niezależnie od trasy. Sprawdź jedną zamierzoną usługę po dodaniu trasy, a potem potwierdź, że niepowiązany zasób nadal jest odrzucany. Trasa, która dociera do zapory, to nie to samo co działające połączenie.

Udokumentuj razem listę prefiksów, sprawdzenie nakładania i właściciela. Gdy adres się zmieni, to właśnie te trzy rzeczy są potrzebne następnej osobie.

Prefiks jest umową o granicach. Traktuj go tak, a trasa przestanie być domysłem.