Не угадывайте префикс офиса по одному адресу сервера

Начните с адреса, который вам дали, а затем противостойте желанию расширить его до чего-то, что выглядит аккуратно. Один сервер на 10.22.8.19 ничего не говорит о том, владеет ли офис 10.22.8.0/24, 10.22.0.0/16 или горсткой разрозненных /28s. Выбор 10.0.0.0/8 только потому, что число начинается с 10, захватывает домашние сети, диапазоны контейнеров и партнёрские связи, которых вы не имели в виду. Префикс — это граница, которую получают, а не выводят.

Длина префикса описывает, сколько старших битов значимы; она не описывает, кому принадлежит диапазон.

Адрес сервера — это не сеть

Сервер, подсеть и площадка — три разные вещи. Одна служба может находиться в небольшой выделенной подсети, пока остальная часть офиса занимает отдельные диапазоны, и маршрут к хосту может быть вполне уместен для службы, у которой намеренно один адрес. Он перестаёт быть уместным, когда площадка перенаправляет на другой хост, аутентифицируется через отдельный сервер или меняет адрес. Именно эти зависимости и есть реальное требование, и о них стоит спросить до установки любого префикса.

Калькулятор подсетей превращает известный префикс в маску, диапазон или список хостов. Он не может вывести организационную границу из одного имени хоста, и именно отношение к его результату как к истине приводит к тому, что несвязанные сети попадают в маршруты.

Запросите утверждённые префиксы

Получите целевые диапазоны у того, кто обслуживает VPN или сеть. Может быть несколько разных префиксов и частный DNS-сервер в другом месте, о котором часто забывают, пока не перестанут работать имена. Запишите их как утверждённый список с владельцем и датой, а не как диапазон, восстановленный из примера. Если список длинный, это информация о сети, а не приглашение свести его к чему-то более широкому.

Запрос маршрутов только для чтения на Mac, направленный на интересующий вас пункт назначения, показывает, какой путь используется сейчас. Это текущее поведение, а не разрешение.

Проверьте перекрытие, прежде чем что-либо применять

Сравните утверждённые префиксы с каждым локальным диапазоном перед применением: домашняя LAN, мосты контейнеров, сети виртуальных машин и любой другой VPN. Точный маршрут в офис всё равно не скажет, какое устройство по этому адресу вы имели в виду, когда тот же диапазон есть и локально; в таблице нет такого понятия. Перекрытие даёт симптомы, похожие на сломанные службы, а не на ошибки маршрутизации, и их трудно диагностировать задним числом.

Пусть поддерживаемый владелец установит префиксы — через собственную конфигурацию клиента или маршруты, которые передаёт сервер, — чтобы переподключение их восстанавливало, а не полагаться на команду, которую кто-то набрал однажды.

Маршрут — это не доступ

Маршрутизация префикса в туннель не даёт доступа к службам внутри него. Шлюз должен разрешить трафик, назначение — принять его, и должен существовать обратный путь, и каждый из них может отказать независимо от маршрута. После установки маршрута проверьте одну нужную службу, затем убедитесь, что несвязанный ресурс по-прежнему отклоняется. Маршрут, доходящий до межсетевого экрана, — не то же самое, что работающее соединение.

Задокументируйте вместе список префиксов, проверку перекрытия и владельца. Когда адрес меняется, следующему человеку нужны именно эти три вещи.

Префикс — это соглашение о границах. Отнеситесь к нему так, и маршрут перестанет быть догадкой.