Gissa inte kontorets prefix utifrån en enda serveradress

Börja med adressen du fick och stå sedan emot lusten att vidga den till något som känns prydligt. En server på 10.22.8.19 säger ingenting om huruvida kontoret äger 10.22.8.0/24, 10.22.0.0/16 eller en handfull utspridda /28s. Att välja 10.0.0.0/8 för att talet börjar med 10 fångar hemmanätverk, containerintervall och partnerlänkar som du inte avsåg. Prefixet är en gräns som ska anskaffas, inte härledas.

En prefixlängd beskriver hur många inledande bitar som är signifikanta; den beskriver inte vem som äger intervallet.

En serveradress är inte ett nätverk

En server, ett subnät och en plats är tre olika saker. En enskild tjänst kan sitta i ett litet dedikerat subnät medan resten av kontoret upptar separata intervall, och en värdrutt kan vara helt lämplig för en tjänst som medvetet har en enda adress. Den slutar vara lämplig när platsen omdirigerar till en annan värd, autentiserar via en separat server eller byter adress. Det är dessa beroenden som är det egentliga kravet, och de är värda att fråga om innan något prefix installeras.

En subnätskalkylator översätter ett känt prefix till en mask, ett intervall eller en värdlista. Den kan inte härleda en organisatorisk gräns från ett enda värdnamn, och att behandla dess utdata som auktoritet är hur orelaterade nätverk till slut blir routade.

Be om de godkända prefixen

Skaffa målintervallen från den som driftar VPN:en eller nätverket. Det kan finnas flera olika prefix och en privat DNS-server på en annan plats, vilket ofta glöms bort tills namn slutar fungera. Skriv upp dem som en godkänd lista med ägare och datum, inte som ett intervall som rekonstruerats från ett exempel. Är listan lång är det information om nätverket och inte en inbjudan att sammanfatta den till något bredare.

En skrivskyddad ruttuppslagning på Macen, riktad mot destinationen du bryr dig om, visar vilken väg som används just nu. Det är nuvarande beteende, inte ett tillstånd.

Kontrollera överlappning innan du tillämpar något

Jämför de godkända prefixen med varje lokalt intervall innan du tillämpar dem: hemma-LAN, containerbryggor, nätverk för virtuella maskiner och alla andra VPN. En exakt rutt till kontoret kan fortfarande inte säga vilken enhet på den adressen du menade när samma intervall också finns lokalt; tabellen har inget sådant begrepp. Överlappning ger symtom som liknar trasiga tjänster snarare än ruttfel, och de är svåra att diagnostisera i efterhand.

Låt den stödda ägaren installera prefixen, via klientens egen konfiguration eller de rutter som servern skickar ut, så att en återanslutning återställer dem i stället för att förlita sig på ett kommando som någon skrev en gång.

En rutt är inte åtkomst

Att routa ett prefix in i tunneln ger inte åtkomst till tjänsterna inuti. Gatewayen måste tillåta trafiken, destinationen måste acceptera den och en returväg måste finnas, och var och en av dem kan misslyckas oberoende av rutten. Testa en avsedd tjänst efter att rutten är på plats och bekräfta sedan att en orelaterad resurs fortfarande nekas. En rutt som når en brandvägg är inte detsamma som en fungerande anslutning.

Dokumentera prefixlistan, överlappningskontrollen och ägaren tillsammans. När en adress ändras är det de tre som nästa person behöver.

Prefixet är en överenskommelse om gränser. Behandla det så och rutten slutar vara en gissning.