IP 管理如何支撑远程办公基础设施

在不同地点办公，需要一条通往应用的清晰路径，也需要记录沿途由哪些系统负责。

一位同事在家可以浏览网页，却打不开内部应用。密码正确，VPN 也显示已连接。问题仍然可能出在地址或名称上：家庭网络与办公网络使用了重叠的地址段，或者笔记本电脑向错误的 DNS 解析器发出了查询。

IP 地址管理能让这类问题更容易理解。它为团队提供企业网络、远程访问地址池、云网络地址段及其所承载服务的记录。它的价值，在于将这些记录与同事实际访问工作资源的路径联系起来。

梳理从家中到应用的访问路径

笔记本电脑的本地地址通常由家用路由器分配。企业远程访问服务可能再提供一个地址，也可能提供针对特定应用的访问方式。目标应用可能位于办公室、数据中心或云网络中。这些是彼此独立的系统，往往由不同的人管理。

雇主的 IPAM 不会自动管理家用路由器。应记录组织能够控制的部分，以及能够观察到的依赖关系。这样，支持人员就不会把不完整的资源清单当成对某个人网络连接的完整掌握。

在真正受影响的场景中解决地址重叠

正如 RFC 1918 所述，独立网络可以重复使用私有 IPv4 地址段。如果家庭网络和企业目标网络使用同一地址段，VPN 可能使路由究竟应到达哪个目标变得含糊。

应统筹规划企业网络与远程访问地址段。发生重叠时，检查客户端和网关实际安装的路由。根据具体架构，解决办法可能包括为某个企业网段重新编址、采用特定的地址转换方案，或提供针对单个应用的访问方式。应把它作为网络设计问题来处理，而不是要求每位员工重新搭建家庭网络。

让名称与地址保持关联

DNS 将应用名称解析为客户端将尝试连接的地址。对于使用 DHCP 的网络，DHCP 负责提供配置。IPAM 保存地址规划。DDI 是这三项功能的集成，并不是动态 IP 地址的另一种叫法。

测试远程连接建立和断开时，内部名称分别由哪个解析器处理。在同时支持 IPv4 和 IPv6 的环境中，检查两者的表现。即使直接连接预期地址能够成功，通过名称访问应用仍可能失败，因此支持流程应检查这两条路径。

地址有助于排查，但不等于一个人

地址租约或 VPN 会话可以在一段时间内，将某个地址与设备或账户联系起来。但共享连接、地址转换和重新分配意味着，单凭地址来证明身份，依据并不充分。排查问题时，应关联时间、会话和身份验证记录，并将这些记录的访问权限限制在确有需要的人员范围内。

NIST 的零信任架构认为，网络位置不足以构成默认信任的依据。IPAM 可以提供有用的背景信息；身份验证、设备检查和应用访问决策，仍需各自相应的控制措施。

让入职与离职流程可预期

对于新同事，应从具有代表性的外部网络验证，其账户和设备能否访问预期应用。检查远程地址池、名称解析和访问权限。将故障记录到负责相应环节的系统中，不要以为地址分配成功，就证明整套配置已经可用。

同事离职时，通过身份系统和远程访问系统撤销访问权限。在适当情况下撤销企业地址分配，同时保留理解早期会话所需的历史记录。仅删除 IPAM 中的一行记录，并不能撤销凭据。

建立对支持工作有用的记录

从一个远程应用开始，记录其访问路径、相关地址段、解析器和负责团队。比较连接成功情况、故障诊断耗时，以及尚未解决的记录不一致数量。还应测试管理服务无法访问时，哪些功能仍然可用。

人们不应为了使用网络，就必须理解整个网络。良好的协调能为本地团队提供足够的背景信息来解决问题，也让组织在更换工具时保留自身记录。关于协调机制应可检查、可替换这一更广泛的原则，可阅读 Lu Heng 的札记 72。如需了解基础知识，可继续阅读 IPAM 的作用。