Piliin ang espasyo ng address ng VPN ayon sa alokasyon, hindi sa pagtatago
Ang mga saklaw na benchmark, pinagsasaluhan at dokumentasyon ay may kani-kaniyang may-ari at layunin. Piliin ang espasyo ng VPN mula sa rehistro, pagkatapos ay planuhin ang pagtatamban na hindi mo maaaring alisin.
Ang isang prefix na kakaiba ang hitsura ay parang pagtakas sa hidwaan ng address sa bahay at opisina, at kadalasan ay hindi naman. Bawat bloke sa rehistro ng IPv4 para sa mga espesyal na layunin ay may may-ari, layunin at dahilan kung bakit ito umiiral, at ang paghiram ng isa dahil mukhang tahimik ito ay naglilipat ng banggaan sa halip na alisin ito. Isagawa ito bilang isang pagkakasunod-sunod: basahin ang alokasyon, mag-imbentaryo ng tumatamban na, at pagkatapos lamang magpasya kung mag-numero muli ka, magsasalin o gagawa ng bagong espasyo. Mahalaga ang pagkakasunod-sunod dahil ang ikatlong hakbang ay nakadepende sa natuklasan ng unang dalawa.
Basahin ang alokasyon bago humiram ng saklaw
Ang rehistro ng espesyal na layunin ng IANA ay naghihiwalay ng mga saklaw na magagamit muli na pribadong espasyo mula sa mga saklaw na naglilingkod sa isang partikular na teknikal na layunin. Ang pribadong paggamit, pinagsasaluhang espasyo ng address, benchmark at mga bloke ng dokumentasyon ay magkamukha sa spreadsheet at kumikilos nang lubos na naiiba kapag na-ruta na.
| Range | Category | What it means for a VPN plan |
|---|---|---|
| 172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8 | RFC 1918 private use | Reusable by any network, so remote sites may already use the same numbers |
| 100.64.0.0/10 | Shared address space | Intended for provider-side carrier-grade NAT arrangements, not a second private pool |
| 198.18.0.0/15 | Benchmarking | Reserved for test traffic measurement; not spare production space |
| 203.0.113.0/24, 198.51.100.0/24, 192.0.2.0/24 | Documentation (RFC 5737) | Illustration only; a guide that uses them is not assigning them to you |
| 169.254.0.0/16, 240.0.0.0/4 | Link-local, reserved | Never a routed site subnet, whatever the prefix length suggests |
Dalawang prefix na nagkakaiba lamang sa ikalawang oktet ay hindi ang parehong bloke: ang 198.18.0.0/15 ay may reserbang benchmark, samantalang ang 192.18.0.0/16 ay walang ganoon. Ang numerong kahawig lamang ng isang nakareserbang saklaw ay hindi namamana ang kahulugan nito. Ang kalituhang ito ay karaniwan na sapat upang bigyang-katwiran ang ikalawang tingin bago ito umabot sa isang tuntunin ng firewall.
Kung minsan ay sadyang gumagamit ang mga produkto ng espesyal na saklaw sa loob ng pinag-ugnay na overlay, at iyon ang kanilang disenyo na dapat idokumento. Hindi nito ginagawang libreng espasyo ang parehong saklaw para sa isang walang kaugnayang LAN. Ang pampublikong espasyo ay hindi rin taguan: ang pribadong ruta patungo sa address na pag-aari ng iba ay naglilihis ng trapikong inilaan para sa lehitimong destinasyon nito.
Mag-imbentaryo ng mga pagtatambang mayroon ka na
Bago pumili ng prefix, ilista ang bawat network na maaabot mula sa tunnel. Ang mga site, pool ng kliyente, VPC sa cloud at mga link ng kasosyo ay binibilang lahat, at ang link ng kasosyo ang siyang nakakalimutan ng mga tao hanggang sa mabigo ang unang pagtatangkang kumonekta.
ip -4 route show table all ip -6 route show ip -br addr ip route get 192.168.1.10
Ilagay ang mga resulta sa isang talahanayan na may may-ari ng bawat saklaw sa tabi. Ang saklaw na hindi mo mabanggit ang may-ari ay saklaw na hindi mo maaaring mag-numero muli mamaya, at ang imbentaryo ang nagbabago ng pagtatalo tungkol sa «kakaibang» mga prefix tungo sa desisyon tungkol sa tiyak na mga numero. Sinasabi rin nito sa iyo kung ang hidwaang sinusubukan mong iwasan ay totoo o guni-guni.
Kung ang network sa bahay ng isang malayong manggagawa ay gumagamit ng parehong prefix tulad ng LAN sa opisina, ang hidwaang iyon ay nakikita sa imbentaryo at maaaring harapin nang tahasan. Hindi ito patunay na ang bloke ng benchmark ay magiging matalinong pagpili, at ang pagtrato nang ganoon ang paraan ng paglikha ng susunod na banggaan.
Bumuo ng natatanging ULA sa halip na kopyahin ang prefix
Nilulutas ng IPv6 ang problema ng muling paggamit sa ibang mekanismo sa halip na mas magandang numero. Tinutukoy ng RFC 4193 ang mga lokal na natatanging address na inilaan nang lokal na may 40-bit na pseudo-random na pandaigdigang identifier, na nagbibigay sa iyo ng /48 para sa isang site na napakaliit ng posibilidad na mabangga sa iba. Mataas ang posibilidad, hindi ganap, at ang prefix ng ULA ay hindi pa rin nagbibigay ng pag-abot sa internet.
openssl rand -hex 5
Sampung hexadecimal na digit ay apatnapung bit. Ilagay ang fd sa harap at pangkatin sila sa /48: ang output na 3f9c1a7b02 ay nagiging fd3f:9c1a:7b02::/48. Bumuo ng isa sa bawat site at itala ito, sa halip na i-paste ang parehong maginhawang fd00::/48 sa bawat deployment.
Pagkatapos ay tiyakin na ang buong landas ay talagang nagsasalita ng IPv6. Ang mga kliyente, gateway, ruta, pribadong DNS at patakaran ng serbisyo ay dapat lahat na sumang-ayon, at ang pagtatalaga ng prefix sa tunnel ay hindi nagiging dahilan upang gamitin ito ng isang aplikasyong IPv4 lamang.
Planuhin ang pagtatamban na hindi mo maaaring alisin
Ang ilang pagtatamban ay permanente, kadalasan dahil ang isang kasosyo ay hindi mag-numero muli at hindi mo siya mapipilit. Doon ka sadyang pumipili ng sinusuportahang mekanismo: muling pag-numero sa iyong panig, isang hiwalay na konteksto ng pag-ruta, o tahasang pagsasalin sa isang hangganan. Ang sadyang pagpili ay nangangahulugan ng pagsulat kung alin ang pinili mo at bakit tinanggihan ang dalawa. Ang talaang iyon ang tunay na babasahin ng isang pagsusuri ng pagbabago sa hinaharap.
Dapat pangalagaan ng pagsasalin ang daan pabalik, na nangangahulugan ng pagtatala ng parehong orihinal at iniharap na prefix at pagtutugma sa mga pribadong pangalan ng DNS na nagreresolba sa kanila. Ang isang naka-map na alias ay maaaring gawing hindi malabo ang isang koneksyon; hindi nito ginagawang pandaigdigang natatangi ang orihinal na mga address at hindi ito makakaligtas sa isang pangalawang kasosyong tumatamban nang walang pangalawang pag-map.
Isulat ang alokasyon kasama ang pagbubukod nito
Tapusin sa isang dokumentong naglilista ng bawat prefix, kategorya nito, may-ari nito at dahilan ng pagpili. Idagdag ang mga pagbubukod kasama ang kanilang tuntunin sa pagsasalin o muling pag-numero at ang petsa kung kailan inaprubahan ito ng isang tao. Itago ito sa tabi ng mga tuntunin ng firewall na nagpapatupad nito, hindi sa isang wiki na walang nagbubukas sa panahon ng insidente. Ang dokumento ang konklusyon, hindi ang buod nito.
Ang talaang iyon ang pumipigil sa susunod na inhinyero na maghanap ng numerong mas kakaiba ang hitsura, at ganoon muling natutuklasan ang problemang ito tuwing ilang taon sa ilalim ng bagong pangalan. Nagbibigay din ito sa isang pagsusuri ng pagbabago ng isang kongkretong bagay na maaaring aprubahan sa halip na isang opinyon tungkol sa mga prefix. Isulat ito nang isang beses, sa dulo ng alokasyon, habang ang pangangatwiran ay nasa harap mo pa.