Escolha o espaço de endereços VPN por alocação, não por obscuridade

Um prefixo de aparência invulgar parece uma fuga ao conflito de endereços entre casa e escritório, e normalmente não é. Cada bloco no registo IPv4 de usos especiais tem um proprietário, um propósito e uma razão para existir, e pedir um emprestado porque parece tranquilo desloca a colisão em vez de a remover. Execute isto como uma sequência: leia a alocação, inventarie o que já se sobrepõe e só então decida se renumera, traduz ou gera espaço novo. A ordem importa porque o terceiro passo depende do que os dois primeiros encontraram.

Leia a alocação antes de pedir uma faixa emprestada

O registo de usos especiais da IANA separa as faixas que são espaço privado reutilizável das faixas que servem um propósito técnico concreto. O uso privado, o espaço de endereços partilhado, a referência e os blocos de documentação parecem iguais numa folha de cálculo e comportam-se de forma totalmente diferente assim que são encaminhados.

Dois prefixos que só diferem no segundo octeto não são o mesmo bloco: 198.18.0.0/15 transporta a reserva de referência, enquanto 192.18.0.0/16 não transporta nada disso. Um número que apenas se assemelha a uma faixa reservada não herda o seu significado. Esta confusão é suficientemente comum para merecer um segundo olhar antes de chegar a uma regra de firewall.

Os produtos usam por vezes deliberadamente uma faixa especial dentro de uma sobreposição coordenada, e esse é o seu desenho, que deve ser documentado. Isso não transforma a mesma faixa em espaço livre para uma LAN não relacionada. O espaço público também não é esconderijo: uma rota privada para um endereço que pertence a outra pessoa desvia o tráfego destinado ao seu destino legítimo.

Inventarie as sobreposições que já tem

Antes de escolher um prefixo, liste todas as redes que ficarão acessíveis a partir do túnel. Sites, conjuntos de clientes, VPC na nuvem e ligações de parceiros contam todos, e a ligação de parceiro é a que as pessoas esquecem até a primeira tentativa de ligação falhar.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Coloque os resultados numa tabela com o proprietário de cada faixa ao lado. Uma faixa para a qual não consegue nomear um proprietário é uma faixa que não poderá renumerar mais tarde, e o inventário é o que transforma uma discussão sobre prefixos «invulgares» numa decisão sobre números concretos. Também lhe diz se o conflito que tenta evitar é real ou imaginário.

Se a rede doméstica de um trabalhador remoto usar o mesmo prefixo que a LAN do escritório, esse conflito é visível no inventário e pode ser tratado explicitamente. Não é prova de que um bloco de referência seria uma escolha inteligente, e é assim que se cria a colisão seguinte.

Gere uma ULA única em vez de copiar um prefixo

O IPv6 resolve o problema da reutilização com um mecanismo diferente em vez de um número mais bonito. A RFC 4193 define endereços locais únicos atribuídos localmente com um identificador global pseudoaleatório de 40-bit, o que lhe dá um /48 para um site muito improvável de colidir com o de outra pessoa. A probabilidade é alta, não absoluta, e um prefixo ULA continua a não oferecer acessibilidade à internet.

openssl rand -hex 5

Dez dígitos hexadecimais são quarenta bits. Anteponha fd e agrupe-os no /48: uma saída 3f9c1a7b02 torna-se fd3f:9c1a:7b02::/48. Gere um por site e registe-o, em vez de colar o mesmo fd00::/48 cómodo em cada implementação.

Depois confirme que todo o caminho fala realmente IPv6. Os clientes, a gateway, as rotas, o DNS privado e a política de serviço devem todos concordar, e atribuir um prefixo ao túnel não faz com que uma aplicação só IPv4 o use.

Planeie a sobreposição que não pode remover

Algumas sobreposições são permanentes, normalmente porque um parceiro não vai renumerar e não o pode obrigar. É então que escolhe deliberadamente um mecanismo suportado: renumeração do seu lado, um contexto de encaminhamento isolado ou tradução explícita numa fronteira. Escolher deliberadamente significa anotar qual escolheu e porque os outros dois foram rejeitados. Essa nota é o que uma futura revisão de alterações lerá realmente.

A tradução deve preservar o caminho de retorno, o que significa registar tanto o prefixo original como o apresentado e emparelhá-los com os nomes DNS privados que neles resolvem. Um alias mapeado pode tornar uma ligação inequívoca; não torna os endereços originais globalmente únicos e não sobreviverá a um segundo parceiro sobreposto sem um segundo mapeamento.

Anote a alocação com a sua exceção

Termine com um documento que liste cada prefixo, a sua categoria, o seu proprietário e a razão da escolha. Acrescente as exceções com a sua regra de tradução ou renumeração e a data em que alguém as aprovou. Guarde-o junto das regras de firewall que o implementam, e não num wiki que ninguém abre durante um incidente. O documento é a entrega, não um resumo dele.

Esse registo é o que impede o próximo engenheiro de procurar um número de aparência mais estranha, e é assim que este problema é redescoberto a cada poucos anos sob um novo nome. Também dá a uma revisão de alterações algo concreto para aprovar em vez de uma opinião sobre prefixos. Escreva-o uma vez, no fim da alocação, enquanto o raciocínio ainda está à sua frente.