# Naplánujte adresy a DNS jako součásti svého nasazení | SwissOctet Insights https://swissoctet.com/cs/insights/plan-addresses-and-dns-for-deployment/ SwissOctet / Přehledy / Síťové inženýrství Síťové inženýrství Základy · 4 min čtení Plánujte adresy a DNS jako součásti svého nasazení Oddělte veřejné, soukromé, statické a vyhrazené adresy a poté namapujte dopředné DNS, reverzní DNS a TLS na strany, které je mohou konfigurovat. Od SwissOctet Editorial Uložit průvodce Kopírovat odkaz NA TÉTO STRÁNCE 01 Vlastnosti adres odpovídají na různé otázky 02 Soukromé adresování stále potřebuje směrování a řízení přístupu 03 Stabilní názvy a stabilní adresy spolu souvisejí 04 Dopředné DNS a reverzní DNS mají různé vlastníky 05 Vyhrazená adresa není nutná pro každý web HTTPS 06 Před změnou záznamů použijte mapu nasazení Váš praktický kontrolní seznam Zdroje a další čtení Zpět do knihovny PŘÍMÁ ODPOVĚĎ Veřejné, soukromé, statické a vyhrazené jsou nezávislé vlastnosti adresy. Sestavte mapu nasazení, která pokrývá také směrování, firewally, dopředné DNS, reverzní DNS a TLS, a ověřte každé nastavení u strany, která jej ovládá. 01 Vlastnosti adres odpovídají na různé otázky Veřejné a soukromé popisují, kam má být adresa směrována. Statické a dynamické popisují, jak se přiřazení chová v čase. Vyhrazené a sdílené popisují, jak se adresa používá nebo přiděluje v rámci služby. Jde o oddělené vlastnosti: stabilní veřejná adresa může obsluhovat mnoho webů a soukromá adresa může být dynamicky přiřazena v řízené síti. Zapište roli každé adresy v nasazení: veřejný vstupní bod, interní databáze, správcovská trasa nebo odchozí připojení. Poté určete, kdo ji přiděluje a co se může změnit. To zabrání tomu, aby konfigurační práce závisela na předpokladu, jako že vyhrazené znamená trvale pevné nebo veřejné znamená, že služba je dosažitelná. Dosažitelnost také závisí na směrování, firewallech a naslouchajícím procesu aplikace. 02 Soukromé adresování stále potřebuje směrování a řízení přístupu RFC 1918 vyhrazuje rozsahy IPv4 10.0.0.0/8, 172.16.0.0/12 a 192.168.0.0/16 pro soukromé sítě. Jejich adresy nejsou globálně jedinečné veřejné cíle. Síť může překládat soukromé adresy pro odchozí připojení nebo propojovat soukromé sítě přes explicitní trasy. Příchozí služba za překladem potřebuje záměrnou metodu publikace; samotná změna záznamu DNS tuto trasu nevytvoří. IPv6 má vlastní typy adres a rozsahy platnosti, včetně adresování link-local a globálně směrovatelných unicast adres. Zkontrolujte je samostatně, místo abyste předpokládali, že pravidlo firewallu nebo překladu IPv4 pokrývá IPv6. Soukromá adresa není autentizační mechanismus a veřejná adresa IPv6 není důvodem vystavit každou službu. Otestujte přístup z každé relevantní sítě a omezte správu na vhodné hranici. 03 Stabilní názvy a stabilní adresy spolu souvisejí DHCP přiděluje konfiguraci adres prostřednictvím protokolu a může používat lease. Dynamicky přiřazená adresa může nějakou dobu zůstat nezměněná; to z její trvalosti nečiní smluvní záruku. Když aplikace závisí na stabilní adrese, ověřte politiku přiřazení a změn u poskytovatele, místo abyste ji odvozovali z včerejšího připojení. Dynamické DNS může aktualizovat název po změně adresy, ale klienti mohou stále cachovat předchozí odpověď. Také nedokáže překonat nedosažitelný naslouchající proces, chybějící příchozí trasu nebo překlad adres na úrovni operátora. Použijte jej, když síť připojení povoluje a aplikace toleruje zpoždění aktualizace. U hostovaného nasazení zdokumentujte zamýšlený životní cyklus adresy dříve, než kolem něj postavíte allowlisty nebo externí integrace. Vlastnost Co potvrdit Častý chybný předpoklad Veřejná nebo soukromá Rozsah směrování a přístupová cesta Samotná adresa činí službu dosažitelnou Statická nebo dynamická Politika přiřazení a změn Nezměněný lease je trvalý Vyhrazená nebo sdílená Přidělení a povolené použití Vyhrazená adresa poskytuje anonymní identitu IPv4 nebo IPv6 Konfigurace směrování i firewallu Nastavení jednoho protokolu pokrývá druhý 04 Dopředné DNS a reverzní DNS mají různé vlastníky Dopředné DNS mapuje názvy na data, jako jsou adresní záznamy A a AAAA. Reverzní DNS používá jmenný prostor související s adresou a záznamy PTR k přiřazení adresy k názvu. Organizace ovládající dopřednou zónu DNS nemusí být organizací ovládající reverzní DNS pro daný rozsah adres. Než slíbíte reverzní název, získejte správnou konfigurační cestu. Zkontrolujte záznam prostřednictvím příslušného resolveru a výsledek zaznamenejte. U PTR určeného k identifikaci hostitele také zkontrolujte, zda odpovídající dopředný záznam ukazuje na očekávanou adresu. Reverzní DNS může podpořit provozní identifikaci a některé kontroly poštovních systémů, ale neautentizuje aplikaci ani nezaručuje doručení zprávy. Odesílání pošty také potřebuje vlastní kontrolu domény, reputace a autentizace. 05 Vyhrazená adresa není nutná pro každý web HTTPS Směrování hostitele HTTP a rozšíření TLS Server Name Indication umožňují podporovaným klientům a serverům vybrat web nebo certifikát podle názvu. Několik webů HTTPS tak může používat adresu, aniž by vyžadovalo jednu veřejnou adresu na doménu. Skutečná konfigurace hostingu a požadovaní klienti určují, zda je toto uspořádání vhodné. Zvolte další adresu jen tehdy, když to vyžaduje zdokumentovaný požadavek, například podporované oddělení sítě nebo externí systém, který očekává odlišný koncový bod. Adresa neposkytuje imunitu vůči problémům s reputací ani neidentifikuje osobu provozující službu. Udržujte certifikáty, směrování podle názvu hostitele a přidělování adres jako samostatné kontroly. Ověřte poskytovaný certifikát prostřednictvím názvu hostitele, který uživatelé skutečně navštíví. 06 Před změnou záznamů použijte mapu nasazení Vytvořte malou mapu obsahující každý název hostitele, adresní záznam, naslouchající proces, cestu firewallem a odpovědnou stranu. Zahrňte správu, zálohy a všechny odchozí allowlisty. Zkontrolujte, zda konfigurace SwissOctet uvádí potřebnou možnost adresy, a před spoléháním se na ni se zeptejte na kontrolu reverzního DNS. Neuvádějte možnosti katalogu jako živé přiřazení, které již bylo zřízeno. Během přesunu připravte cílovou aplikaci a nastavení TLS dříve, než tam nasměrujete uživatele. Počítejte s cache DNS a udržujte funkční cestu obnovy. Ověřte samostatně dopředné překlad, skutečnou dosažitelnost aplikace a očekávaný reverzní název. Mapa usnadňuje lokalizaci selhání, protože chybný záznam, zavřený port a neodpovídající certifikát jsou různé problémy s různými vlastníky. PŘEVEĎTE TO V AKCI Váš praktický kontrolní seznam. ✓ Zmapujte roli adresy, přiřazení a vlastnictví. ✓ Zkontrolujte IPv4 a IPv6 samostatně. ✓ Před spoléháním na DNS ověřte příchozí směrování. ✓ Určete, kdo ovládá záznamy PTR. ✓ Otestujte název hostitele, certifikát a aplikaci společně. Stáhnout kontrolní seznam ČASTÉ OTÁZKY Podrobnosti, na kterých záleží. Činí vyhrazená IP adresa službu anonymní? + Ne. Popisuje uspořádání přidělení nebo použití, nikoli záruku identity nebo soukromí. Účty, provoz a data aplikace mají samostatné důsledky. Mohu nastavit záznamy PTR z panelu DNS své domény? + Jen pokud také ovládá příslušnou reverzní zónu. Poskytovatel adresy obvykle ovládá tuto zónu nebo poskytuje samostatný proces žádosti. Potřebuje každá doména HTTPS vlastní adresu? + Ne nutně. Podporovaní klienti a servery mohou používat směrování podle názvu a TLS SNI. Ověřte skutečné požadavky hostingu a klientů. PRIMÁRNÍ ZDROJE Jděte ke zdroji. Tyto zdroje podporují technické koncepty v tomto průvodci. Před změnou produkčního systému se řiďte aktuální dokumentací. RFC 1918: Přidělování adres pro soukromé internetové sítě www.rfc-editor.org RFC 2131: Dynamic Host Configuration Protocol www.rfc-editor.org RFC 1035: Implementace a specifikace DNS www.rfc-editor.org RFC 4291: Architektura adresování IPv6 www.rfc-editor.org RFC 6066: Rozšíření TLS, včetně Server Name Indication www.rfc-editor.org Redakční vedení od SwissOctet. Příklady jsou ilustrativní. Specifikace služeb, dostupné možnosti a smluvní podmínky je nutné ověřit samostatně. PROPOJTE ZNALOSTI Související infrastruktura. Vector VPS Švýcarsko Canvas Web Švýcarsko Metal Origin Švýcarsko Shield VPN Švýcarsko UDRŽTE NIT Vaše další terénní poznámky. Prozkoumat všechny průvodce TERÉNNÍ POZNÁMKA / 01 + Síťové inženýrství Základ Šířka pásma, rychlost portu a přenos: přečtěte si celý obrázek Odhadněte, kolik dat váš projekt přenese, a pochopte, proč je větší port jen jednou částí výkonu sítě. 4 min čtení Přečtěte si průvodce TERÉNNÍ POZNÁMKA / 02 + Provoz druhého dne Aplikované Bezpečná správa Windows RDP bez ztráty přístupu Oddělte síťovou dostupnost, autentizaci a oprávnění, poté před zpřísněním vzdáleného přístupu ověřte cestu obnovy. 6 min čtení Přečtěte si průvodce TERÉNNÍ POZNÁMKA / 03 + Síťové inženýrství Pokročilé Dimenzujte přenos pomocí měření latence, souběžnosti a propustnosti Sestavte opakovatelný model přenosu pomocí objemu dat, dodacích oken a doby odezvy a poté jej otestujte, aniž byste si pletli označení portu s užitečnou propustností. 4 min čtení Přečtěte si průvodce