不要凭一个服务器地址猜测办公网段前缀

从你拿到的那个地址开始，然后克制住把它扩大成看起来整齐的东西的冲动。10.22.8.19 上有一台服务器，并不能说明办公室拥有的是 10.22.8.0/24、10.22.0.0/16，还是几个散落的 /28s。仅因为数字以 10 开头就选 10.0.0.0/8，会把你不打算纳入的家庭网络、容器网段和合作伙伴链路一并卷进来。前缀是必须取得的边界，而不是推导出来的。

前缀长度描述的是有多少个高位比特是有效的；它并不描述这个网段归谁所有。

服务器地址不是网络

服务器、子网和站点是三件不同的事。一个服务可能只落在很小的专用子网里，而办公室其余部分占用另外的网段；对于一个刻意只保留单个地址的服务，主机路由完全合适。当站点会重定向到另一台主机、通过另一台服务器认证，或者地址发生变化时，它就不再合适。这些依赖才是真正的要求，值得在装上任何前缀之前先问清楚。

子网计算器把已知前缀换算成掩码、网段或主机列表。它无法从单个主机名推断组织边界，而把它的输出当作权威，正是无关网络被一起路由进去的原因。

索取已批准的前缀

向运维 VPN 或网络的人索要目标网段。可能有好几个不同的前缀，还有一台位于别处的私有 DNS 服务器，往往直到域名解析失败才被想起。把它们记录成带所有者和日期的批准清单，而不是从某个示例反推出来的网段。清单很长，那是关于网络的信息，而不是把它概括成更宽范围的理由。

在 Mac 上针对你关心的目标做只读路由查询，会显示当前正在走的路径。那是当前行为，不是授权。

应用任何东西之前先检查重叠

在应用已批准前缀之前，把它们与每个本地网段比对：家庭 LAN、容器网桥、虚拟机网段以及其他任何 VPN。当同一网段在本地也存在时，一条指向办公室的精确路由仍然无法告诉你指的是那个地址上的哪台设备，因为路由表里没有这个概念。重叠产生的症状看起来像服务坏了，而不像路由错误，事后很难诊断。

让负责支持的所有者来安装这些前缀，通过客户端自身的配置或服务器下发的路由，这样重连时它们会被恢复，而不是依赖某个人当初敲过一次的命令。

路由不是访问权限

把前缀路由进隧道并不等于能访问其中的服务。网关必须放行流量，目标必须接受，回程路径必须存在，而这三者都可能独立于路由而失败。路由就位后先测一个你真正需要的服务，然后确认无关的访问仍被拒绝。一条能到达防火墙的路由，和一条能用的连接不是一回事。

把前缀清单、重叠检查结果和所有者一起记录下来。当地址发生变化时，下一个人需要的正是这三样。

前缀是关于边界的约定。按这个方式对待它，路由就不再是猜的。