Не вгадуйте префікс офісу з однієї адреси сервера

Почніть з адреси, яку вам дали, а потім опирайтеся бажанню розширити її до чогось, що виглядає охайно. Один сервер на 10.22.8.19 нічого не каже про те, чи володіє офіс 10.22.8.0/24, 10.22.0.0/16 чи жменькою розкиданих /28s. Вибір 10.0.0.0/8 лише тому, що число починається з 10, захоплює домашні мережі, діапазони контейнерів і партнерські зв’язки, яких ви не мали на увазі. Префікс — це межа, яку треба отримати, а не вивести.

Довжина префікса описує, скільки старших бітів є значущими; вона не описує, кому належить діапазон.

Адреса сервера — це не мережа

Сервер, підмережа й майданчик — три різні речі. Одна служба може перебувати в невеликій виділеній підмережі, тоді як решта офісу займає окремі діапазони, і маршрут до хоста може бути цілком доречним для служби, яка навмисно має одну адресу. Він перестає бути доречним, коли майданчик перенаправляє на інший хост, автентифікується через окремий сервер або змінює адресу. Саме ці залежності є реальною вимогою, і про них варто запитати до встановлення будь-якого префікса.

Калькулятор підмереж перетворює відомий префікс на маску, діапазон або список хостів. Він не може вивести організаційну межу з одного імені хоста, і ставлення до його результату як до істини призводить до того, що незв’язані мережі потрапляють у маршрути.

Запросіть затверджені префікси

Отримайте цільові діапазони в того, хто обслуговує VPN або мережу. Може бути кілька різних префіксів і приватний DNS-сервер в іншому місці, про який часто забувають, доки не перестануть працювати імена. Запишіть їх як затверджений список із власником і датою, а не як діапазон, відновлений із прикладу. Якщо список довгий, це інформація про мережу, а не запрошення звести його до чогось ширшого.

Запит маршрутів лише для читання на Mac, спрямований на потрібний вам пункт призначення, показує, який шлях використовується зараз. Це поточна поведінка, а не дозвіл.

Перевірте перекриття, перш ніж щось застосовувати

Порівняйте затверджені префікси з кожним локальним діапазоном перед застосуванням: домашня LAN, мости контейнерів, мережі віртуальних машин і будь-який інший VPN. Точний маршрут до офісу все одно не скаже, який пристрій за цією адресою ви мали на увазі, коли той самий діапазон існує й локально; таблиця не має такого поняття. Перекриття дає симптоми, схожі на зламані служби, а не на помилки маршрутизації, і їх важко діагностувати заднім числом.

Нехай підтримуваний власник установить префікси — через власну конфігурацію клієнта або маршрути, які передає сервер, — щоб перепідключення відновлювало їх, а не покладатися на команду, яку хтось набрав одного разу.

Маршрут — це не доступ

Маршрутизація префікса в тунель не дає доступу до служб усередині нього. Шлюз має дозволити трафік, призначення має його прийняти, і має існувати зворотний шлях, і кожен із них може відмовити незалежно від маршруту. Після встановлення маршруту перевірте одну потрібну службу, потім переконайтеся, що незв’язаний ресурс досі відхиляється. Маршрут, що доходить до міжмережевого екрана, — не те саме, що працююче з’єднання.

Задокументуйте разом список префіксів, перевірку перекриття та власника. Коли адреса змінюється, саме ці три речі потрібні наступній людині.

Префікс — це угода про межі. Ставтеся до нього так, і маршрут перестане бути здогадкою.