Chọn không gian địa chỉ VPN theo phân bổ, không theo sự mờ tối

Một tiền tố trông lạ thường giống như lối thoát khỏi xung đột địa chỉ giữa nhà và văn phòng, và thường thì không phải vậy. Mỗi khối trong sổ đăng ký IPv4 cho mục đích đặc biệt đều có chủ sở hữu, mục đích và lý do tồn tại, và mượn một khối vì nó trông yên tĩnh chỉ di chuyển xung đột thay vì loại bỏ nó. Hãy thực hiện như một chuỗi: đọc phân bổ, kiểm kê những gì đã chồng lấn, và chỉ sau đó quyết định xem bạn đang đánh số lại, dịch hay tạo không gian mới. Thứ tự quan trọng vì bước thứ ba phụ thuộc vào những gì hai bước đầu tiên tìm thấy.

Đọc phân bổ trước khi mượn một dải

Sổ đăng ký mục đích đặc biệt của IANA tách các dải là không gian riêng tư có thể tái sử dụng khỏi các dải phục vụ một mục đích kỹ thuật cụ thể. Sử dụng riêng, không gian địa chỉ chia sẻ, tham chiếu và các khối tài liệu trông giống nhau trong bảng tính và hành xử hoàn toàn khác khi được định tuyến.

Hai tiền tố chỉ khác nhau ở octet thứ hai không phải là cùng một khối: 198.18.0.0/15 mang theo phần dành riêng cho tham chiếu, trong khi 192.18.0.0/16 không mang gì tương tự. Một con số chỉ giống một dải dành riêng không thừa hưởng ý nghĩa của nó. Sự nhầm lẫn này đủ phổ biến để đáng có lần nhìn thứ hai trước khi nó đến một quy tắc tường lửa.

Các sản phẩm đôi khi cố ý dùng một dải đặc biệt bên trong một lớp phủ được phối hợp, và đó là thiết kế của họ cần được ghi lại. Điều đó không biến cùng dải đó thành không gian trống cho một LAN không liên quan. Không gian công cộng cũng không phải chỗ ẩn: một tuyến riêng đến địa chỉ thuộc về người khác sẽ chuyển hướng lưu lượng dành cho đích hợp pháp của nó.

Kiểm kê những chồng lấn bạn đã có

Trước khi chọn tiền tố, liệt kê mọi mạng sẽ truy cập được từ đường hầm. Các trang, nhóm máy khách, VPC trên đám mây và liên kết đối tác đều được tính, và liên kết đối tác là thứ người ta quên cho đến khi lần kết nối đầu tiên thất bại.

ip -4 route show table all
ip -6 route show
ip -br addr
ip route get 192.168.1.10

Đặt kết quả vào một bảng với chủ sở hữu của từng dải bên cạnh. Một dải mà bạn không thể nêu tên chủ sở hữu là dải bạn không thể đánh số lại sau này, và chính bản kiểm kê là thứ biến cuộc tranh luận về những tiền tố «lạ thường» thành quyết định về những con số cụ thể. Nó cũng cho bạn biết xung đột bạn đang cố tránh là thật hay chỉ trong tưởng tượng.

Nếu mạng tại nhà của một nhân viên từ xa dùng cùng tiền tố với LAN văn phòng, xung đột đó hiện rõ trong bản kiểm kê và có thể được xử lý một cách rõ ràng. Đó không phải bằng chứng rằng một khối tham chiếu sẽ là lựa chọn khôn ngoan, và cách xử lý như vậy chính là cách tạo ra xung đột tiếp theo.

Tạo một ULA duy nhất thay vì sao chép tiền tố

IPv6 giải quyết vấn đề tái sử dụng bằng một cơ chế khác chứ không phải một con số đẹp hơn. RFC 4193 định nghĩa các địa chỉ cục bộ duy nhất được gán cục bộ với một định danh toàn cầu 40-bit giả ngẫu nhiên, cho bạn một /48 cho một trang rất khó trùng với của người khác. Xác suất cao nhưng không tuyệt đối, và một tiền tố ULA vẫn không mang lại khả năng truy cập internet.

openssl rand -hex 5

Mười chữ số thập lục phân là bốn mươi bit. Đặt fd phía trước và nhóm chúng vào /48: một đầu ra 3f9c1a7b02 trở thành fd3f:9c1a:7b02::/48. Tạo một cái cho mỗi trang và ghi lại, thay vì dán cùng một fd00::/48 tiện lợi vào mọi lần triển khai.

Sau đó xác nhận rằng toàn bộ đường đi thực sự nói IPv6. Máy khách, cổng, tuyến, DNS riêng và chính sách dịch vụ đều phải đồng ý, và việc gán một tiền tố cho đường hầm không khiến một ứng dụng chỉ IPv4 dùng nó.

Lập kế hoạch cho phần chồng lấn không thể gỡ bỏ

Một số chồng lấn là vĩnh viễn, thường vì một đối tác sẽ không đánh số lại và bạn không thể ép buộc. Khi đó bạn cố ý chọn một cơ chế được hỗ trợ: đánh số lại ở phía bạn, một ngữ cảnh định tuyến tách biệt hoặc dịch rõ ràng tại một ranh giới. Chọn có chủ ý nghĩa là ghi ra bạn chọn cái nào và vì sao hai cái kia bị loại. Chính ghi chú đó một lần xem xét thay đổi trong tương lai sẽ thực sự đọc.

Bản dịch phải bảo toàn đường quay về, nghĩa là ghi lại cả tiền tố gốc và tiền tố được trình bày rồi khớp chúng với các tên DNS riêng phân giải vào chúng. Một bí danh đã ánh xạ có thể làm một kết nối rõ ràng; nó không làm các địa chỉ gốc duy nhất trên toàn cầu và sẽ không chịu được đối tác chồng lấn thứ hai nếu không có ánh xạ thứ hai.

Ghi lại phân bổ cùng với ngoại lệ của nó

Kết thúc bằng một tài liệu liệt kê từng tiền tố, danh mục, chủ sở hữu và lý do lựa chọn. Thêm các ngoại lệ cùng quy tắc dịch hoặc đánh số lại và ngày mà ai đó đã phê duyệt chúng. Giữ nó bên cạnh các quy tắc tường lửa thực thi nó, không phải trong một wiki mà không ai mở trong một sự cố. Tài liệu chính là sản phẩm bàn giao, không phải bản tóm tắt của nó.

Chính bản ghi đó ngăn kỹ sư tiếp theo tìm kiếm một con số trông lạ hơn, và đó là cách vấn đề này được phát hiện lại vài năm một lần dưới một cái tên mới. Nó cũng cho một lần xem xét thay đổi điều gì đó cụ thể để phê duyệt thay vì một ý kiến về tiền tố. Hãy viết nó một lần, ở cuối phân bổ, khi lý lẽ vẫn còn trước mắt bạn.