Vyberte adresný priestor VPN podľa pridelenia, nie podľa nenápadnosti
Porovnávacie, zdieľané a dokumentačné rozsahy majú každý svojho vlastníka a účel. Vyberte priestor VPN z registra a potom naplánujte prekrytie, ktoré nemôžete odstrániť.
Neobvykle vyzerajúci prefix pôsobí ako únik zo stretu adries medzi domovom a kanceláriou, a zvyčajne ním nie je. Každý blok v registri IPv4 špeciálnych účelov má vlastníka, účel a dôvod existencie a požičanie jedného preto, že vyzerá ticho, stret len presunie, namiesto toho aby ho odstránilo. Vykonajte to ako sled krokov: prečítajte pridelenie, zmapujte, čo sa už prekrýva, a až potom rozhodnite, či prečíslujete, prekladáte alebo vytvárate nový priestor. Poradie je dôležité, pretože tretí krok závisí od toho, čo našli prvé dva.
Prečítajte pridelenie, skôr než si rozsah požičiate
Register špeciálnych účelov IANA oddeľuje rozsahy, ktoré sú opakovane použiteľným súkromným priestorom, od rozsahov, ktoré slúžia jednému konkrétnemu technickému účelu. Súkromné použitie, zdieľaný adresný priestor, porovnávanie a dokumentačné bloky vyzerajú v tabuľke rovnako a po zavedení smerovania sa správajú úplne inak.
| Range | Category | What it means for a VPN plan |
|---|---|---|
| 172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8 | RFC 1918 private use | Reusable by any network, so remote sites may already use the same numbers |
| 100.64.0.0/10 | Shared address space | Intended for provider-side carrier-grade NAT arrangements, not a second private pool |
| 198.18.0.0/15 | Benchmarking | Reserved for test traffic measurement; not spare production space |
| 203.0.113.0/24, 198.51.100.0/24, 192.0.2.0/24 | Documentation (RFC 5737) | Illustration only; a guide that uses them is not assigning them to you |
| 169.254.0.0/16, 240.0.0.0/4 | Link-local, reserved | Never a routed site subnet, whatever the prefix length suggests |
Dva prefixy líšiace sa iba v druhom oktete nie sú rovnaký blok: 198.18.0.0/15 nesie porovnávaciu rezerváciu, zatiaľ čo 192.18.0.0/16 nenesie nič také. Číslo, ktoré sa rezervovanému rozsahu iba podobá, jeho význam nededia. Táto zámena je dosť častá na to, aby si zaslúžila druhý pohľad skôr, než sa dostane do pravidla firewallu.
Produkty niekedy zámerne používajú špeciálny rozsah v rámci koordinovaného prekrytia a to je ich návrh, ktorý treba zdokumentovať. Neznamená to, že rovnaký rozsah je voľný priestor pre nesúvisiacu LAN. Ani verejný priestor nie je úkryt: súkromná trasa k adrese, ktorá patrí niekomu inému, odkláňa prevádzku určenú jej legitímnemu cieľu.
Zmapujte prekrytia, ktoré už máte
Skôr než vyberiete prefix, vypíšte každú sieť, ktorá bude dostupná z tunela. Lokality, klientské fondy, cloudové VPC a partnerské prepojenia sa všetky počítajú a práve partnerské prepojenie ľudia zabudnú, kým prvý pokus o pripojenie nezlyhá.
ip -4 route show table all ip -6 route show ip -br addr ip route get 192.168.1.10
Umiestnite výsledky do jednej tabuľky s vlastníkom každého rozsahu vedľa. Rozsah, ku ktorému nedokážete priradiť vlastníka, je rozsah, ktorý neskôr nedokážete prečíslovať, a práve súpis mení hádku o „neobvyklých“ prefixoch na rozhodnutie o konkrétnych číslach. Tiež vám povie, či je stret, ktorému sa snažíte vyhnúť, skutočný alebo predstieraný.
Ak domáca sieť vzdialeného pracovníka používa rovnaký prefix ako kancelárska LAN, tento stret je v súpise viditeľný a dá sa riešiť výslovne. Nie je to dôkaz, že porovnávací blok by bol rozumná voľba, a práve takýto prístup vytvára ďalšiu kolíziu.
Vygenerujte jedinečnú ULA namiesto kopírovania prefixu
IPv6 rieši problém opakovaného použitia iným mechanizmom, nie krajším číslom. RFC 4193 definuje lokálne pridelené jedinečné lokálne adresy s pseudonáhodným 40-bit globálnym identifikátorom, čo vám dá /48 pre lokalitu, ktorá sa veľmi pravdepodobne nestretne s cudzou. Pravdepodobnosť je vysoká, nie absolútna, a prefix ULA stále neposkytuje dostupnosť internetu.
openssl rand -hex 5
Desať hexadecimálnych číslic je štyridsať bitov. Dajte im predponu fd a zoskupte ich do /48: výstup 3f9c1a7b02 sa zmení na fd3f:9c1a:7b02::/48. Vygenerujte jeden pre každú lokalitu a poznamenajte si ho, namiesto vkladania rovnakého pohodlného fd00::/48 do každého nasadenia.
Potom overte, že celá cesta skutočne hovorí IPv6. Klienti, brána, trasy, súkromný DNS a politika služieb sa musia zhodnúť a pridelenie prefixu tunelu nespôsobí, že ho aplikácia pracujúca iba s IPv4 použije.
Naplánujte prekrytie, ktoré nemôžete odstrániť
Niektoré prekrytia sú trvalé, zvyčajne preto, že partner nebude prečíslovať a vy ho nemôžete prinútiť. Vtedy vedome zvolíte podporovaný mechanizmus: prečíslovanie na svojej strane, izolovaný kontext smerovania alebo výslovný preklad na hranici. Vedomá voľba znamená zapísať, ktorú ste zvolili a prečo boli ostatné dve odmietnuté. Práve túto poznámku si budúca revízia zmien skutočne prečíta.
Preklad musí zachovať spiatočnú cestu, čo znamená zaznamenať pôvodný aj prezentovaný prefix a spárovať ich so súkromnými DNS menami, ktoré sa do nich prekladajú. Namapovaný alias môže jedno spojenie urobiť jednoznačným; pôvodné adresy globálne jedinečnými neurobí a bez druhého mapovania neprežije druhého prekrývajúceho sa partnera.
Zapíšte pridelenie aj s jeho výnimkou
Skončite dokumentom, ktorý vypisuje každý prefix, jeho kategóriu, vlastníka a dôvod voľby. Pridajte výnimky s ich pravidlom prekladu alebo prečíslovania a dátumom, kedy ich niekto schválil. Uchovávajte ho vedľa pravidiel firewallu, ktoré ho zavádzajú, nie vo wiki, ktorú pri incidente nikto neotvorí. Dodávkou je dokument, nie jeho zhrnutie.
Práve tento záznam bráni ďalšiemu inžinierovi hľadať čudnejšie vyzerajúce číslo, a takto sa tento problém každých pár rokov znova objavuje pod novým menom. Dáva tiež revízii zmien niečo konkrétne na schválenie namiesto názoru na prefixy. Napíšte ho raz, na konci pridelenia, kým máte odôvodnenie ešte pred sebou.