Veřejné, soukromé, statické a vyhrazené jsou nezávislé vlastnosti adresy. Sestavte mapu nasazení, která pokrývá také směrování, firewally, dopředné DNS, reverzní DNS a TLS, a ověřte každé nastavení u strany, která jej ovládá.
Vlastnosti adres odpovídají na různé otázky
Veřejné a soukromé popisují, kam má být adresa směrována. Statické a dynamické popisují, jak se přiřazení chová v čase. Vyhrazené a sdílené popisují, jak se adresa používá nebo přiděluje v rámci služby. Jde o oddělené vlastnosti: stabilní veřejná adresa může obsluhovat mnoho webů a soukromá adresa může být dynamicky přiřazena v řízené síti.
Zapište roli každé adresy v nasazení: veřejný vstupní bod, interní databáze, správcovská trasa nebo odchozí připojení. Poté určete, kdo ji přiděluje a co se může změnit. To zabrání tomu, aby konfigurační práce závisela na předpokladu, jako že vyhrazené znamená trvale pevné nebo veřejné znamená, že služba je dosažitelná. Dosažitelnost také závisí na směrování, firewallech a naslouchajícím procesu aplikace.
Soukromé adresování stále potřebuje směrování a řízení přístupu
RFC 1918 vyhrazuje rozsahy IPv4 10.0.0.0/8, 172.16.0.0/12 a 192.168.0.0/16 pro soukromé sítě. Jejich adresy nejsou globálně jedinečné veřejné cíle. Síť může překládat soukromé adresy pro odchozí připojení nebo propojovat soukromé sítě přes explicitní trasy. Příchozí služba za překladem potřebuje záměrnou metodu publikace; samotná změna záznamu DNS tuto trasu nevytvoří.
IPv6 má vlastní typy adres a rozsahy platnosti, včetně adresování link-local a globálně směrovatelných unicast adres. Zkontrolujte je samostatně, místo abyste předpokládali, že pravidlo firewallu nebo překladu IPv4 pokrývá IPv6. Soukromá adresa není autentizační mechanismus a veřejná adresa IPv6 není důvodem vystavit každou službu. Otestujte přístup z každé relevantní sítě a omezte správu na vhodné hranici.
Stabilní názvy a stabilní adresy spolu souvisejí
DHCP přiděluje konfiguraci adres prostřednictvím protokolu a může používat lease. Dynamicky přiřazená adresa může nějakou dobu zůstat nezměněná; to z její trvalosti nečiní smluvní záruku. Když aplikace závisí na stabilní adrese, ověřte politiku přiřazení a změn u poskytovatele, místo abyste ji odvozovali z včerejšího připojení.
Dynamické DNS může aktualizovat název po změně adresy, ale klienti mohou stále cachovat předchozí odpověď. Také nedokáže překonat nedosažitelný naslouchající proces, chybějící příchozí trasu nebo překlad adres na úrovni operátora. Použijte jej, když síť připojení povoluje a aplikace toleruje zpoždění aktualizace. U hostovaného nasazení zdokumentujte zamýšlený životní cyklus adresy dříve, než kolem něj postavíte allowlisty nebo externí integrace.
| Vlastnost | Co potvrdit | Častý chybný předpoklad |
|---|---|---|
| Veřejná nebo soukromá | Rozsah směrování a přístupová cesta | Samotná adresa činí službu dosažitelnou |
| Statická nebo dynamická | Politika přiřazení a změn | Nezměněný lease je trvalý |
| Vyhrazená nebo sdílená | Přidělení a povolené použití | Vyhrazená adresa poskytuje anonymní identitu |
| IPv4 nebo IPv6 | Konfigurace směrování i firewallu | Nastavení jednoho protokolu pokrývá druhý |
Dopředné DNS a reverzní DNS mají různé vlastníky
Dopředné DNS mapuje názvy na data, jako jsou adresní záznamy A a AAAA. Reverzní DNS používá jmenný prostor související s adresou a záznamy PTR k přiřazení adresy k názvu. Organizace ovládající dopřednou zónu DNS nemusí být organizací ovládající reverzní DNS pro daný rozsah adres. Než slíbíte reverzní název, získejte správnou konfigurační cestu.
Zkontrolujte záznam prostřednictvím příslušného resolveru a výsledek zaznamenejte. U PTR určeného k identifikaci hostitele také zkontrolujte, zda odpovídající dopředný záznam ukazuje na očekávanou adresu. Reverzní DNS může podpořit provozní identifikaci a některé kontroly poštovních systémů, ale neautentizuje aplikaci ani nezaručuje doručení zprávy. Odesílání pošty také potřebuje vlastní kontrolu domény, reputace a autentizace.
Vyhrazená adresa není nutná pro každý web HTTPS
Směrování hostitele HTTP a rozšíření TLS Server Name Indication umožňují podporovaným klientům a serverům vybrat web nebo certifikát podle názvu. Několik webů HTTPS tak může používat adresu, aniž by vyžadovalo jednu veřejnou adresu na doménu. Skutečná konfigurace hostingu a požadovaní klienti určují, zda je toto uspořádání vhodné.
Zvolte další adresu jen tehdy, když to vyžaduje zdokumentovaný požadavek, například podporované oddělení sítě nebo externí systém, který očekává odlišný koncový bod. Adresa neposkytuje imunitu vůči problémům s reputací ani neidentifikuje osobu provozující službu. Udržujte certifikáty, směrování podle názvu hostitele a přidělování adres jako samostatné kontroly. Ověřte poskytovaný certifikát prostřednictvím názvu hostitele, který uživatelé skutečně navštíví.
Před změnou záznamů použijte mapu nasazení
Vytvořte malou mapu obsahující každý název hostitele, adresní záznam, naslouchající proces, cestu firewallem a odpovědnou stranu. Zahrňte správu, zálohy a všechny odchozí allowlisty. Zkontrolujte, zda konfigurace SwissOctet uvádí potřebnou možnost adresy, a před spoléháním se na ni se zeptejte na kontrolu reverzního DNS. Neuvádějte možnosti katalogu jako živé přiřazení, které již bylo zřízeno.
Během přesunu připravte cílovou aplikaci a nastavení TLS dříve, než tam nasměrujete uživatele. Počítejte s cache DNS a udržujte funkční cestu obnovy. Ověřte samostatně dopředné překlad, skutečnou dosažitelnost aplikace a očekávaný reverzní název. Mapa usnadňuje lokalizaci selhání, protože chybný záznam, zavřený port a neodpovídající certifikát jsou různé problémy s různými vlastníky.
Váš praktický kontrolní seznam.
- Zmapujte roli adresy, přiřazení a vlastnictví.
- Zkontrolujte IPv4 a IPv6 samostatně.
- Před spoléháním na DNS ověřte příchozí směrování.
- Určete, kdo ovládá záznamy PTR.
- Otestujte název hostitele, certifikát a aplikaci společně.
Podrobnosti, na kterých záleží.
Činí vyhrazená IP adresa službu anonymní?+
Ne. Popisuje uspořádání přidělení nebo použití, nikoli záruku identity nebo soukromí. Účty, provoz a data aplikace mají samostatné důsledky.
Mohu nastavit záznamy PTR z panelu DNS své domény?+
Jen pokud také ovládá příslušnou reverzní zónu. Poskytovatel adresy obvykle ovládá tuto zónu nebo poskytuje samostatný proces žádosti.
Potřebuje každá doména HTTPS vlastní adresu?+
Ne nutně. Podporovaní klienti a servery mohou používat směrování podle názvu a TLS SNI. Ověřte skutečné požadavky hostingu a klientů.
Jděte ke zdroji.
Tyto zdroje podporují technické koncepty v tomto průvodci. Před změnou produkčního systému se řiďte aktuální dokumentací.
- RFC 1918: Přidělování adres pro soukromé internetové sítě www.rfc-editor.org
- RFC 2131: Dynamic Host Configuration Protocol www.rfc-editor.org
- RFC 1035: Implementace a specifikace DNS www.rfc-editor.org
- RFC 4291: Architektura adresování IPv6 www.rfc-editor.org
- RFC 6066: Rozšíření TLS, včetně Server Name Indication www.rfc-editor.org
Redakční vedení od SwissOctet. Příklady jsou ilustrativní. Specifikace služeb, dostupné možnosti a smluvní podmínky je nutné ověřit samostatně.