Naslovni prostor VPN izberite po dodelitvi, ne po nerazpoznavnosti

Prefiks nenavadnega videza se zdi kot pobeg iz konflikta naslovov med domom in pisarno, in običajno ni. Vsak blok v registru IPv4 posebnih namenov ima lastnika, namen in razlog za obstoj, in izposoja enega zato, ker je videti tih, konflikt premakne, namesto da bi ga odstranila. Izvedite to kot zaporedje: preberite dodelitev, popišite, kaj se že prekriva, in šele nato odločite, ali preštevilčite, prevedete ali ustvarite nov prostor. Vrstni red je pomemben, ker je tretji korak odvisen od tega, kar sta našla prva dva.

Preberite dodelitev, preden si izposodite obseg

Register posebnih namenov IANA ločuje obsege, ki so večkrat uporabljiv zasebni prostor, od obsegov, ki služijo enemu konkretnemu tehničnemu namenu. Zasebna uporaba, skupni naslovni prostor, primerjalno merjenje in dokumentacijski bloki so v preglednici videti enako in se po usmerjanju obnašajo povsem drugače.

Dva prefiksa, ki se razlikujeta le v drugem oktetu, nista isti blok: 198.18.0.0/15 nosi primerjalno rezervacijo, medtem ko 192.18.0.0/16 ne nosi ničesar takega. Število, ki le spominja na rezerviran obseg, ne podeduje njegovega pomena. Ta zmeda je dovolj pogosta, da si zasluži drugi pogled, preden pride v pravilo požarnega zidu.

Izdelki včasih namerno uporabljajo poseben obseg znotraj usklajenega prekrivanja, in to je njihova zasnova, ki jo je treba dokumentirati. To ne naredi istega obsega prostega prostora za nepovezan LAN. Tudi javni prostor ni skrivališče: zasebna pot do naslova, ki pripada nekomu drugemu, preusmeri promet, namenjen njegovemu zakonitemu cilju.

Popišite prekrivanja, ki jih že imate

Preden izberete prefiks, naštejte vsako omrežje, ki bo dosegljivo iz predora. Lokacije, skupine odjemalcev, oblačni VPC in partnerske povezave se vse štejejo, in prav partnersko povezavo ljudje pozabijo, dokler prvi poskus povezave ne spodleti.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Rezultate dajte v eno preglednico z lastnikom vsakega obsega ob strani. Obseg, za katerega ne morete imenovati lastnika, je obseg, ki ga pozneje ne morete preštevilčiti, in prav popis spremeni razpravo o «nenavadnih» prefiksih v odločitev o konkretnih številkah. Pove vam tudi, ali je konflikt, ki se mu poskušate izogniti, resničen ali namišljen.

Če domače omrežje oddaljenega delavca uporablja isti prefiks kot pisarniški LAN, je ta konflikt viden v popisu in ga je mogoče obravnavati izrecno. To ni dokaz, da bi bil primerjalni blok pametna izbira, in prav takšen odnos ustvari naslednje trčenje.

Ustvarite edinstveno ULA, namesto da kopirate prefiks

IPv6 rešuje problem ponovne uporabe z drugim mehanizmom, ne z lepšo številko. RFC 4193 določa lokalno dodeljene edinstvene lokalne naslove s psevdonaključnim 40-bit globalnim identifikatorjem, kar vam da /48 za lokacijo, ki se zelo verjetno ne bo trčila s tujo. Verjetnost je visoka, ne absolutna, in prefiks ULA še vedno ne zagotavlja dosegljivosti interneta.

openssl rand -hex 5

Deset šestnajstiških števk je štirideset bitov. Prednje postavite fd in jih združite v /48: izhod 3f9c1a7b02 postane fd3f:9c1a:7b02::/48. Ustvarite enega na lokacijo in ga zapišite, namesto da bi v vsako uvedbo prilepili isti priročni fd00::/48.

Nato potrdite, da celotna pot res govori IPv6. Odjemalci, prehod, poti, zasebni DNS in politika storitev se morajo vsi strinjati, in dodelitev prefiksa predoru ne povzroči, da bi ga aplikacija, ki deluje samo z IPv4, uporabila.

Načrtujte prekrivanje, ki ga ne morete odstraniti

Nekatera prekrivanja so trajna, običajno zato, ker partner ne bo preštevilčil in ga ne morete prisiliti. Takrat zavestno izberete podprt mehanizem: preštevilčenje na svoji strani, izoliran kontekst usmerjanja ali izrecen prevod na meji. Zavestna izbira pomeni zapisati, katero ste izbrali in zakaj sta bili drugi dve zavrnjeni. Prav to opombo bo prihodnji pregled sprememb zares prebral.

Prevod mora ohraniti povratno pot, kar pomeni zabeležiti izvirni in predstavljeni prefiks ter ju uskladiti z zasebnimi imeni DNS, ki se vanju razrešujejo. Preslikan vzdevek lahko naredi eno povezavo nedvoumno; izvirnih naslovov ne naredi globalno edinstvenih in brez drugega preslikavanja ne bo preživel drugega prekrivajočega se partnerja.

Zapišite dodelitev skupaj z njeno izjemo

Zaključite z dokumentom, ki našteje vsak prefiks, njegovo kategorijo, lastnika in razlog za izbiro. Dodajte izjeme z njihovim pravilom prevoda ali preštevilčenja in datumom, ko jih je nekdo odobril. Hranite ga ob pravilih požarnega zidu, ki ga izvajajo, ne v wikiju, ki ga med incidentom nihče ne odpre. Dokument je dobava, ne njegov povzetek.

Prav ta zapis prepreči naslednjemu inženirju iskanje čudneje videče številke, in tako se ta problem vsakih nekaj let znova odkrije pod novim imenom. Pregledu sprememb tudi da nekaj konkretnega za odobritev namesto mnenja o prefiksih. Napišite ga enkrat, na koncu dodelitve, dokler je obrazložitev še pred vami.