Изаберите VPN адресни простор према расподели, а не према затајности

Префикс необичног изгледа делује као бекство од конфликта адреса између куће и канцеларије, и обично то није. Сваки блок у регистру IPv4 за посебне намене има власника, циљ и разлог постојања, а позајмљивање једног зато што изгледа тихо премешта судар уместо да га уклони. Изведите ово као низ: прочитајте расподелу, попишите шта се већ преклапа и тек онда одлучите да ли пребројавате, преводите или стварате нови простор. Редослед је важан јер трећи корак зависи од онога што су прва два нашла.

Прочитајте расподелу пре него што позајмите опсег

Регистар за посебне намене IANA раздваја опсеге који су вишекратно употребљив приватни простор од опсега који служе једној конкретној техничкој намени. Приватна употреба, заједнички адресни простор, референца и документациони блокови изгледају исто у табели, а понашају се потпуно другачије када се рутирају.

Два префикса која се разликују само у другом октету нису исти блок: 198.18.0.0/15 носи референтну резервацију, док 192.18.0.0/16 не носи ништа слично. Број који само личи на резервисани опсег не наслеђује његово значење. Ова забуна је довољно честа да заслужи други поглед пре него што стигне до правила заштитног зида.

Производи понекад намерно користе посебан опсег унутар координисаног преклапања, и то је њихов дизајн који треба документовати. То не чини исти опсег слободним простором за неповезану LAN. Ни јавни простор није скровиште: приватна рута до адресе која припада неком другом преусмерава саобраћај намењен њеном законитом одредишту.

Попишите преклапања која већ имате

Пре него што изаберете префикс, наведите сваку мрежу која ће бити доступна из тунела. Локације, базени клијената, облачни VPC и партнерске везе се сви рачунају, а партнерску везу људи забораве док први покушај повезивања не пропадне.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Ставите резултате у једну табелу са власником сваког опсега поред. Опсег за који не можете да наведете власника је опсег који касније не можете да пребројите, и управо попис претвара расправу о «необичним» префиксима у одлуку о конкретним бројевима. Он вам такође каже да ли је конфликт који покушавате да избегнете стваран или замишљен.

Ако кућна мрежа удаљеног радника користи исти префикс као канцеларијска LAN, тај конфликт је видљив у попису и може се експлицитно решити. То није доказ да би референтни блок био паметан избор, и управо такав приступ ствара следећи судар.

Генеришите јединствену ULA уместо да копирате префикс

IPv6 решава проблем поновне употребе другим механизмом, а не лепшим бројем. RFC 4193 дефинише локално додељене јединствене локалне адресе са псеудослучајним 40-bit глобалним идентификатором, што вам даје /48 за локацију која врло мало вероватно може да се судари са нечијом другом. Вероватноћа је висока, не апсолутна, а ULA префикс и даље не обезбеђује доступност интернета.

openssl rand -hex 5

Десет хексадецималних цифара је четрдесет бита. Ставите fd испред њих и групишите их у /48: излаз 3f9c1a7b02 постаје fd3f:9c1a:7b02::/48. Генеришите један по локацији и запишите га, уместо да лепите исти згодни fd00::/48 у свако распоређивање.

Затим потврдите да цео пут заиста говори IPv6. Клијенти, пролаз, руте, приватни DNS и политика услуга морају сви да се сложе, а додела префикса тунелу не тера апликацију која ради само са IPv4 да га користи.

Испланирајте преклапање које не можете да уклоните

Нека преклапања су трајна, обично зато што партнер неће да пребројава и не можете да га присилите. Тада намерно бирате подржани механизам: пребројавање на вашој страни, изоловани контекст рутирања или експлицитан превод на граници. Намеран избор значи да запишете који сте изабрали и зашто су остала два одбијена. Управо ту белешку ће будући преглед измена стварно прочитати.

Превод мора да сачува повратни пут, што значи да запишете и оригинални и представљени префикс и да их ускладите са приватним DNS именима која се у њих разрешавају. Мапирани алијас може да учини једну везу недвосмисленом; не чини оригиналне адресе глобално јединственим и неће издржати другог партнера са преклапањем без другог мапирања.

Запишите расподелу заједно са њеним изузетком

Завршите документом који наводи сваки префикс, његову категорију, власника и разлог избора. Додајте изузетке са њиховим правилом превода или пребројавања и датумом када их је неко одобрио. Чувајте га поред правила заштитног зида која га спроводе, а не у викију који нико не отвара током инцидента. Документ је испорука, а не његов резиме.

Управо тај запис спречава следећег инжењера да тражи чудније изгледајући број, и тако се овај проблем поново открива сваких неколико година под новим именом. Он такође даје прегледу измена нешто конкретно за одобрење уместо мишљења о префиксима. Напишите га једном, на крају расподеле, док је образложење још пред вама.