Δημόσια, ιδιωτική, στατική και αποκλειστική είναι ανεξάρτητες ιδιότητες διεύθυνσης. Δημιουργήστε έναν χάρτη ανάπτυξης που καλύπτει επίσης δρομολόγηση, τείχη προστασίας, forward DNS, reverse DNS και TLS, και επαληθεύστε κάθε ρύθμιση με το μέρος που την ελέγχει.
Οι ιδιότητες διεύθυνσης απαντούν σε διαφορετικές ερωτήσεις
Δημόσια και ιδιωτική περιγράφουν πού προορίζεται να δρομολογείται μια διεύθυνση. Στατική και δυναμική περιγράφουν πώς συμπεριφέρεται μια εκχώρηση με την πάροδο του χρόνου. Αποκλειστική και κοινόχρηστη περιγράφουν πώς χρησιμοποιείται ή εκχωρείται μια διεύθυνση εντός μιας υπηρεσίας. Αυτές είναι ξεχωριστές ιδιότητες: μια σταθερή δημόσια διεύθυνση μπορεί να εξυπηρετεί πολλές τοποθεσίες και μια ιδιωτική διεύθυνση μπορεί να εκχωρείται δυναμικά μέσα σε ένα ελεγχόμενο δίκτυο.
Καταγράψτε τον ρόλο κάθε διεύθυνσης στην ανάπτυξη: δημόσιο σημείο εισόδου, εσωτερική βάση δεδομένων, διαδρομή διαχείρισης ή εξερχόμενη σύνδεση. Στη συνέχεια προσδιορίστε ποιος την εκχωρεί και τι μπορεί να αλλάξει. Αυτό αποτρέπει την εξάρτηση της εργασίας διαμόρφωσης από μια υπόθεση όπως ότι αποκλειστική σημαίνει μόνιμα σταθερή ή ότι δημόσια σημαίνει ότι η υπηρεσία είναι προσβάσιμη. Η προσβασιμότητα εξαρτάται επίσης από τη δρομολόγηση, τα τείχη προστασίας και τον listener της εφαρμογής.
Η ιδιωτική διευθυνσιοδότηση εξακολουθεί να χρειάζεται δρομολόγηση και έλεγχο πρόσβασης
Το RFC 1918 δεσμεύει τις περιοχές IPv4 10.0.0.0/8, 172.16.0.0/12 και 192.168.0.0/16 για ιδιωτικά δίκτυα. Οι διευθύνσεις τους δεν είναι παγκοσμίως μοναδικοί δημόσιοι προορισμοί. Ένα δίκτυο μπορεί να μεταφράζει ιδιωτικές διευθύνσεις για εξερχόμενες συνδέσεις ή να συνδέει ιδιωτικά δίκτυα μέσω ρητών διαδρομών. Μια υπηρεσία εισόδου πίσω από μετάφραση χρειάζεται σκόπιμη μέθοδο δημοσίευσης· η αλλαγή μιας εγγραφής DNS από μόνη της δεν δημιουργεί αυτή τη διαδρομή.
Το IPv6 έχει τους δικούς του τύπους και πεδία διευθύνσεων, συμπεριλαμβανομένης της διευθυνσιοδότησης link-local και των παγκοσμίως δρομολογήσιμων διευθύνσεων unicast. Εξετάστε το ξεχωριστά αντί να υποθέτετε ότι ένας κανόνας τείχους προστασίας ή μετάφρασης IPv4 καλύπτει το IPv6. Μια ιδιωτική διεύθυνση δεν είναι μηχανισμός ταυτοποίησης και μια δημόσια διεύθυνση IPv6 δεν είναι λόγος να εκτεθεί κάθε υπηρεσία. Δοκιμάστε την πρόσβαση από κάθε σχετικό δίκτυο και περιορίστε τη διαχείριση στο κατάλληλο όριο.
Τα σταθερά ονόματα και οι σταθερές διευθύνσεις σχετίζονται
Το DHCP εκχωρεί διαμόρφωση διεύθυνσης μέσω πρωτοκόλλου και μπορεί να χρησιμοποιεί μισθώσεις. Μια δυναμικά εκχωρημένη διεύθυνση μπορεί να παραμείνει αμετάβλητη για κάποιο διάστημα· αυτό δεν καθιστά τη μονιμότητά της συμβατική εγγύηση. Όταν μια εφαρμογή εξαρτάται από σταθερή διεύθυνση, επαληθεύστε την πολιτική εκχώρησης και αλλαγής του παρόχου αντί να τη συνάγετε από τη χθεσινή σύνδεση.
Το δυναμικό DNS μπορεί να ενημερώσει ένα όνομα αφού αλλάξει μια διεύθυνση, αλλά οι πελάτες μπορεί να έχουν ακόμη στην κρυφή μνήμη την προηγούμενη απάντηση. Δεν μπορεί επίσης να ξεπεράσει έναν μη προσβάσιμο listener, μια απούσα διαδρομή εισόδου ή τη μετάφραση διευθύνσεων carrier-grade. Χρησιμοποιήστε το όταν το δίκτυο επιτρέπει τη σύνδεση και η εφαρμογή ανέχεται καθυστερήσεις ενημέρωσης. Για μια φιλοξενούμενη ανάπτυξη, τεκμηριώστε τον προβλεπόμενο κύκλο ζωής της διεύθυνσης πριν δημιουργήσετε λίστες επιτρεπόμενων ή εξωτερικές ενσωματώσεις γύρω από αυτήν.
| Ιδιότητα | Τι να επιβεβαιώσετε | Συνήθης εσφαλμένη υπόθεση |
|---|---|---|
| Δημόσια ή ιδιωτική | Πεδίο δρομολόγησης και διαδρομή πρόσβασης | Μια διεύθυνση από μόνη της καθιστά μια υπηρεσία προσβάσιμη |
| Στατική ή δυναμική | Πολιτική εκχώρησης και αλλαγής | Μια αμετάβλητη μίσθωση είναι μόνιμη |
| Αποκλειστική ή κοινόχρηστη | Εκχώρηση και επιτρεπόμενη χρήση | Μια αποκλειστική διεύθυνση παρέχει ανώνυμη ταυτότητα |
| IPv4 ή IPv6 | Και οι δύο διαμορφώσεις δρομολόγησης και τείχους προστασίας | Οι ρυθμίσεις ενός πρωτοκόλλου καλύπτουν το άλλο |
Το forward DNS και το reverse DNS έχουν διαφορετικούς κατόχους
Το forward DNS αντιστοιχίζει ονόματα σε δεδομένα όπως εγγραφές διευθύνσεων A και AAAA. Το reverse DNS χρησιμοποιεί χώρο ονομάτων σχετιζόμενο με διευθύνσεις και εγγραφές PTR για να συσχετίσει μια διεύθυνση με ένα όνομα. Ο οργανισμός που ελέγχει τη ζώνη forward DNS δεν είναι απαραίτητα ο οργανισμός που ελέγχει το reverse DNS για το εύρος διευθύνσεων. Αποκτήστε τη σωστή διαδρομή διαμόρφωσης πριν υποσχεθείτε ένα αντίστροφο όνομα.
Ελέγξτε την εγγραφή μέσω του κατάλληλου resolver και καταγράψτε το αποτέλεσμα. Για ένα PTR που προορίζεται να προσδιορίζει έναν κεντρικό υπολογιστή, ελέγξτε επίσης αν η αντίστοιχη εγγραφή forward δείχνει στην αναμενόμενη διεύθυνση. Το reverse DNS μπορεί να υποστηρίξει λειτουργικό προσδιορισμό και ορισμένους ελέγχους συστημάτων αλληλογραφίας, αλλά δεν ταυτοποιεί μια εφαρμογή ούτε εγγυάται την παράδοση μηνυμάτων. Η αποστολή αλληλογραφίας χρειάζεται επίσης δικό της τομέα, φήμη και έλεγχο ταυτοποίησης.
Δεν απαιτείται αποκλειστική διεύθυνση για κάθε τοποθεσία HTTPS
Η δρομολόγηση κεντρικού υπολογιστή HTTP και η επέκταση TLS Server Name Indication επιτρέπουν σε υποστηριζόμενους πελάτες και διακομιστές να επιλέγουν τοποθεσία ή πιστοποιητικό με βάση το όνομα. Επομένως, πολλές τοποθεσίες HTTPS μπορούν να χρησιμοποιούν μια διεύθυνση χωρίς να απαιτείται μία δημόσια διεύθυνση ανά τομέα. Η πραγματική διαμόρφωση φιλοξενίας και οι απαιτούμενοι πελάτες καθορίζουν αν αυτή η διάταξη είναι κατάλληλη.
Επιλέξτε πρόσθετη διεύθυνση μόνο όταν μια τεκμηριωμένη απαίτηση την απαιτεί, όπως υποστηριζόμενος διαχωρισμός δικτύου ή εξωτερικό σύστημα που αναμένει ξεχωριστό endpoint. Μια διεύθυνση δεν παρέχει ασυλία από προβλήματα φήμης ούτε προσδιορίζει το πρόσωπο που λειτουργεί μια υπηρεσία. Κρατήστε τα πιστοποιητικά, τη δρομολόγηση με βάση το όνομα κεντρικού υπολογιστή και την εκχώρηση διευθύνσεων ως ξεχωριστούς ελέγχους. Επαληθεύστε το πιστοποιητικό που σερβίρεται μέσω του ονόματος κεντρικού υπολογιστή που θα επισκέπτονται πραγματικά οι χρήστες.
Χρησιμοποιήστε χάρτη ανάπτυξης πριν αλλάξετε εγγραφές
Δημιουργήστε έναν μικρό χάρτη που περιέχει κάθε όνομα κεντρικού υπολογιστή, εγγραφή διεύθυνσης, listener, διαδρομή τείχους προστασίας και υπεύθυνο μέρος. Συμπεριλάβετε τη διαχείριση, τα αντίγραφα ασφαλείας και τυχόν λίστες επιτρεπόμενων εξερχόμενων συνδέσεων. Ελέγξτε αν η διαμόρφωση SwissOctet παραθέτει την επιλογή διεύθυνσης που χρειάζεστε και ρωτήστε για τον έλεγχο του reverse DNS πριν βασιστείτε σε αυτό. Μην παρουσιάζετε επιλογές καταλόγου ως ενεργή εκχώρηση που έχει ήδη παρασχεθεί.
Κατά τη διάρκεια μιας μετακίνησης, προετοιμάστε την εφαρμογή προορισμού και τις ρυθμίσεις TLS πριν κατευθύνετε τους χρήστες εκεί. Λάβετε υπόψη τις κρυφές μνήμες DNS και διατηρήστε λειτουργική διαδρομή ανάκτησης. Επαληθεύστε ξεχωριστά την ανάλυση forward, την πραγματική προσβασιμότητα της εφαρμογής και το αναμενόμενο αντίστροφο όνομα. Ο χάρτης κάνει τις αστοχίες ευκολότερες στον εντοπισμό, επειδή μια λανθασμένη εγγραφή, μια κλειστή θύρα και ένα ασύμβατο πιστοποιητικό είναι διαφορετικά προβλήματα με διαφορετικούς υπευθύνους.
Η πρακτική λίστα ελέγχου σας.
- Χαρτογραφήστε τον ρόλο, την εκχώρηση και την κυριότητα της διεύθυνσης.
- Ελέγξτε το IPv4 και το IPv6 ξεχωριστά.
- Επαληθεύστε τη δρομολόγηση εισόδου πριν βασιστείτε στο DNS.
- Προσδιορίστε ποιος ελέγχει τις εγγραφές PTR.
- Δοκιμάστε μαζί το όνομα κεντρικού υπολογιστή, το πιστοποιητικό και την εφαρμογή.
Οι λεπτομέρειες που έχουν σημασία.
Κάνει μια αποκλειστική IP μια υπηρεσία ανώνυμη;+
Όχι. Περιγράφει διάταξη εκχώρησης ή χρήσης, όχι εγγύηση ταυτότητας ή ιδιωτικότητας. Οι λογαριασμοί, η κίνηση και τα δεδομένα εφαρμογών έχουν ξεχωριστές επιπτώσεις.
Μπορώ να ορίσω εγγραφές PTR από τον πίνακα DNS του τομέα μου;+
Μόνο αν ελέγχει επίσης τη σχετική ζώνη reverse. Ο πάροχος της διεύθυνσης συνήθως ελέγχει αυτή τη ζώνη ή παρέχει ξεχωριστή διαδικασία αιτήματος.
Χρειάζεται κάθε τομέας HTTPS τη δική του διεύθυνση;+
Όχι απαραίτητα. Οι υποστηριζόμενοι πελάτες και διακομιστές μπορούν να χρησιμοποιούν δρομολόγηση με βάση το όνομα και TLS SNI. Επαληθεύστε τις πραγματικές απαιτήσεις φιλοξενίας και πελάτη.
Πηγαίνετε στην πηγή.
Αυτές οι αναφορές υποστηρίζουν τις τεχνικές έννοιες σε αυτόν τον οδηγό. Ακολουθήστε την τρέχουσα τεκμηρίωση πριν αλλάξετε ένα σύστημα παραγωγής.
- RFC 1918: Εκχώρηση διευθύνσεων για ιδιωτικά διαδίκτυα www.rfc-editor.org
- RFC 2131: Πρωτόκολλο δυναμικής διαμόρφωσης κεντρικού υπολογιστή www.rfc-editor.org
- RFC 1035: Υλοποίηση και προδιαγραφή DNS www.rfc-editor.org
- RFC 4291: Αρχιτεκτονική διευθυνσιοδότησης IPv6 www.rfc-editor.org
- RFC 6066: Επεκτάσεις TLS, συμπεριλαμβανομένου του Server Name Indication www.rfc-editor.org
Συντακτική καθοδήγηση από SwissOctet. Τα παραδείγματα είναι ενδεικτικά. Οι προδιαγραφές υπηρεσιών, οι διαθέσιμες επιλογές και οι συμβατικοί όροι πρέπει να επαληθεύονται ξεχωριστά.