Đừng đoán tiền tố của văn phòng từ một địa chỉ máy chủ

Bắt đầu từ địa chỉ bạn được cấp, rồi cưỡng lại thôi thúc mở rộng nó thành một thứ trông có vẻ gọn gàng. Một máy chủ tại 10.22.8.19 không nói gì về việc văn phòng có 10.22.8.0/24, 10.22.0.0/16 hay vài /28s rải rác. Chọn 10.0.0.0/8 chỉ vì con số bắt đầu bằng 10 sẽ kéo theo cả mạng gia đình, dải container và liên kết đối tác mà bạn không định gộp vào. Tiền tố là một ranh giới cần có được, không phải để suy ra.

Độ dài tiền tố mô tả có bao nhiêu bit đầu là có nghĩa; nó không mô tả dải đó thuộc về ai.

Địa chỉ máy chủ không phải là mạng

Máy chủ, mạng con và điểm đặt là ba thứ khác nhau. Một dịch vụ có thể nằm trong một mạng con nhỏ chuyên dụng trong khi phần còn lại của văn phòng chiếm các dải riêng, và một tuyến tới máy chủ hoàn toàn phù hợp cho dịch vụ cố ý chỉ có một địa chỉ. Nó không còn phù hợp khi điểm đặt chuyển hướng sang máy chủ khác, xác thực qua một máy chủ riêng hoặc đổi địa chỉ. Chính những phụ thuộc đó mới là yêu cầu thật, và đáng hỏi về chúng trước khi cài bất kỳ tiền tố nào.

Máy tính mạng con chuyển một tiền tố đã biết thành mặt nạ, dải hoặc danh sách máy chủ. Nó không thể suy ra ranh giới tổ chức từ một tên máy chủ, và việc coi kết quả của nó là thẩm quyền chính là cách các mạng không liên quan bị đưa vào tuyến.

Hãy yêu cầu các tiền tố đã được phê duyệt

Lấy các dải đích từ người vận hành VPN hoặc mạng. Có thể có nhiều tiền tố khác nhau và một máy chủ DNS riêng ở vị trí khác, thứ thường bị quên cho đến khi tên phân giải thất bại. Ghi chúng thành danh sách đã phê duyệt kèm người phụ trách và ngày, không phải một dải được dựng lại từ ví dụ. Nếu danh sách dài, đó là thông tin về mạng chứ không phải lời mời tóm nó thành một thứ rộng hơn.

Một truy vấn tuyến chỉ đọc trên Mac, nhắm tới đích bạn quan tâm, cho thấy đường nào đang được dùng ngay lúc này. Đó là hành vi hiện tại, không phải sự cho phép.

Kiểm tra chồng lấn trước khi áp dụng bất cứ điều gì

So các tiền tố đã phê duyệt với từng dải nội bộ trước khi áp dụng: LAN tại nhà, cầu container, mạng máy ảo và mọi VPN khác. Khi cùng dải đó cũng tồn tại ở nội bộ, một tuyến chính xác tới văn phòng vẫn không thể cho bạn biết thiết bị nào ở địa chỉ ấy mà bạn đã định nói tới, vì bảng tuyến không có khái niệm đó. Chồng lấn tạo ra các triệu chứng trông như dịch vụ hỏng hơn là lỗi tuyến, và rất khó chẩn đoán sau khi đã xảy ra.

Hãy để người phụ trách được hỗ trợ cài các tiền tố, qua cấu hình của chính máy khách hoặc các tuyến do máy chủ đẩy xuống, để khi kết nối lại chúng được khôi phục thay vì dựa vào một câu lệnh ai đó đã gõ một lần.

Tuyến đường không phải là quyền truy cập

Đưa một tiền tố vào đường hầm không cấp quyền truy cập tới các dịch vụ bên trong nó. Cổng phải cho phép lưu lượng, đích phải chấp nhận nó và phải có đường quay về, và mỗi thứ đều có thể hỏng độc lập với tuyến. Hãy thử một dịch vụ dự định sau khi tuyến đã vào chỗ, rồi xác nhận một tài nguyên không liên quan vẫn bị từ chối. Một tuyến chạm tới tường lửa không giống một kết nối đang hoạt động.

Ghi lại cùng nhau danh sách tiền tố, việc kiểm tra chồng lấn và người phụ trách. Khi một địa chỉ thay đổi, ba thứ đó chính là thứ người tiếp theo cần.

Tiền tố là một thỏa thuận về ranh giới. Hãy đối xử với nó như vậy và tuyến sẽ không còn là phỏng đoán.