Nehádajte kancelársky prefix z jednej adresy servera

Začnite adresou, ktorú ste dostali, a potom sa vzoprite nutkaniu rozšíriť ju na niečo, čo vyzerá upratane. Jeden server na 10.22.8.19 nič nehovorí o tom, či kancelária vlastní 10.22.8.0/24, 10.22.0.0/16 alebo hrsť roztrúsených /28s. Voľba 10.0.0.0/8 preto, že číslo sa začína na 10, zachytí domáce siete, rozsahy kontajnerov a partnerské prepojenia, ktoré ste nezamýšľali. Prefix je hranica, ktorú treba získať, nie odvodiť.

Dĺžka prefixu opisuje, koľko úvodných bitov je významných; neopisuje, komu rozsah patrí.

Adresa servera nie je sieť

Server, podsiete a lokalita sú tri rôzne veci. Jedna služba môže sedieť v malej vyhradenej podsieti, zatiaľ čo zvyšok kancelárie zaberá samostatné rozsahy, a hostiteľská trasa môže byť úplne vhodná pre službu, ktorá má zámerne jedinú adresu. Prestáva byť vhodná, keď lokalita presmeruje na iného hostiteľa, overuje sa cez samostatný server alebo zmení adresu. Práve tieto závislosti sú skutočná požiadavka a stojí za to sa na ne opýtať skôr, než sa nainštaluje akýkoľvek prefix.

Kalkulačka podsietí prevádza známy prefix na masku, rozsah alebo zoznam hostiteľov. Nedokáže z jedného mena hostiteľa odvodiť organizačnú hranicu a práve považovanie jej výstupu za autoritu vedie k tomu, že nesúvisiace siete skončia v trasách.

Vyžiadajte si schválené prefixy

Získajte cieľové rozsahy od toho, kto prevádzkuje VPN alebo sieť. Môže existovať niekoľko odlišných prefixov a súkromný DNS server na inom mieste, na ktorý sa často zabúda, kým mená neprestanú fungovať. Zapíšte ich ako schválený zoznam s vlastníkom a dátumom, nie ako rozsah zrekonštruovaný z príkladu. Ak je zoznam dlhý, je to informácia o sieti, nie pozvanie zhrnúť ho do niečoho širšieho.

Vyhľadanie trás iba na čítanie na Macu, zamerané na cieľ, ktorý vás zaujíma, ukáže, ktorá cesta sa práve používa. To je súčasné správanie, nie oprávnenie.

Pred nasadením čohokoľvek skontrolujte prekryv

Porovnajte schválené prefixy s každým miestnym rozsahom pred ich použitím: domáca LAN, mosty kontajnerov, siete virtuálnych strojov a akákoľvek ďalšia VPN. Presná trasa do kancelárie vám stále nepovie, ktoré zariadenie na tejto adrese ste mali na mysli, keď rovnaký rozsah existuje aj lokálne; tabuľka taký pojem nepozná. Prekryv vyvoláva príznaky, ktoré vyzerajú skôr ako pokazené služby než chyby smerovania, a je ťažké ich dodatočne diagnostikovať.

Nechajte podporovaného vlastníka nainštalovať prefixy, cez vlastnú konfiguráciu klienta alebo trasy vnútené serverom, aby ich opätovné pripojenie obnovilo namiesto spoliehania sa na príkaz, ktorý niekto raz napísal.

Trasa nie je prístup

Smerovanie prefixu do tunela neudeľuje prístup k službám vnútri. Brána musí prevádzku povoliť, cieľ ju musí prijať a musí existovať spiatočná cesta, a každé z toho môže zlyhať nezávisle od trasy. Po zavedení trasy otestujte jednu zamýšľanú službu a potom overte, že nesúvisiaci zdroj je stále odmietaný. Trasa, ktorá dosiahne firewall, nie je to isté ako fungujúce spojenie.

Zdokumentujte zoznam prefixov, kontrolu prekryvu a vlastníka spoločne. Keď sa adresa zmení, práve tieto tri veci ďalší človek potrebuje.

Prefix je dohoda o hraniciach. Správajte sa k nemu tak a trasa prestane byť hádankou.