企业在管理 IP 资源时常见的错误

地址问题常常始于普通操作：项目新建一个子网，服务器退役，客户申请固定地址。当做这些事的人看不到彼此的决定，也不知道旧系统留下了什么依赖，问题就会积累。

改进管理，可以先从清单与运行状态不一致的地方入手。下面六类错误，都能通过具体操作来检查。

一、把记录当成现实的证明

清单可能写着预期状态，设备或云资源却运行着另一套配置。扫描结果也是有覆盖范围和观察时间的信息，不能不加判断地覆盖原记录。

选一段地址，对照规划、DHCP 或会话记录、设备配置和云端清单。把分歧标出来，记录每条信息的来源与核实时间。真正有用的改进，是让团队能解释这些记录，而不只是让仪表盘显得更完整。

二、分配时看不到同一个资源池

两个团队都能从同一地址池分配，却看不到对方的预留，分散的表格就容易出问题。固定地址本身没有错；没有负责人、适用范围和变更历史的分配，才难以长期维护。

明确每次分配所属的路由上下文，提供可靠的预留步骤，并测试同时提交两个请求会怎样。重叠的私有地址可以存在于隔离网络或不同 VRF 中；当这些网络需要互通时，才必须处理相应关系。NetBox 的 VRF 文档展示了这种区分。

三、看到地址安静，就急着回收

设备可能不回应 ping，可能只是暂时离线，也可能每月才运行一次。DNS、合作伙伴的访问名单、备用系统和已规划的项目，都可能依赖一个当前几乎没有流量的地址。

先找服务负责人，核对依赖，再观察与业务周期相符的运行情况。确认退役之后，保留分配历史，把资源放回合适的池子。“没有观察到”和“已经可以复用”，是不同状态。

四、用趋势口号代替协议选择

IPv4、IPv6、双栈和地址转换，各有不同的运行条件。应根据客户需要访问的服务、应用支持、设备和运维成本作选择，并测试名称解析与实际连接。

IPv6 空间更大，仍需要管理前缀、有效期和依赖。地址转换可以支撑真实业务，也会带来额外状态和排障工作。只说某种协议必然替代另一种，并不能回答今天的用户能否顺利访问服务。

五、以为有清单就有安全

地址记录能帮助找到某个系统的负责团队，却不能单独验证使用者身份，也不能代替应用权限。NIST 的零信任模型解释了为什么不能仅凭网络位置建立信任。

需要把地址历史与相关身份、会话和安全记录联系起来，并设置合适的访问权限。路由监测、DNS 安全和设备防护也应各有清晰职责，这样一层出了问题，才不会被另一层“正常”的状态掩盖。

六、把理解自身网络的能力交给一个换不掉的工具

工具可能把所有东西放进同一个界面，却让底层关系难以导出。应实际检查：离开它以后，地址段、路由上下文、负责人和变更历史是否仍能读懂？管理服务中断时，团队能否恢复，地方运维还能做什么？

卢恒在第 72 篇札记中，把这个问题放到了互联网规模：必要的协调，应当保障连续性与更换服务提供者的能力。组织内部共享信息，也不等于可以赋予记录维护者不受约束的控制权。

从一次完整变更开始检查

跟踪一个请求，从预留到上线，再到最终退役。每一步都找到负责人、核对实际结果，并说明出错后如何纠正。复核频率应随变更速度与影响调整；每天都在变化的网络，仅靠一年一次的快照显然不够。

下一步可以用IPAM 工具评估指南，检验拟采用的系统是否真的改善了这条工作流程。