什么是 IP 地址管理

通过一个日常地址冲突理解 IPAM：规划、DHCP、DNS 和实时观察如何衔接，以及为什么记录需要上下文。

Ann · 2025年12月30日 · 约 4 分钟读完

记录应区分已分配、已保留和下一步可使用的资源。

两个团队正在准备新服务。两边都看到同一个地址标记为“可用”，于是各自分配了它。单独看，这两项变更都合理；合在一起，却可能让流量抵达错误目的地，或完全无法抵达。

IP 地址管理通常简称 IPAM，是规划地址空间并维护可用分配记录的实践。它帮助人们回答四个问题：我们拥有多少空间、它用于什么、谁在使用，以及我们可以安全地改变什么？

记录中应包含什么？

地址在网络上下文中标识一个接口或服务。前缀描述一组地址。IPAM 记录把这些数字与其用途联系起来：办公室、客户网络、云环境或某项特定服务。

记录应区分可用、已保留、已分配和正在退役的资源。每个条目都需要负责团队、路由上下文、信息来源以及检查时间。即使今天没有设备使用某个地址，未来项目仍可以拥有有效保留。

想象一下开设一间新办公室。地址规划为该地点留出一个地址块。DHCP 服务可以在租期内为笔记本电脑提供地址和其他网络设置。DNS 让人和软件通过名称找到服务。IPAM 记录这块空间如何组织，并将分配与更大的规划联系起来。

整合这三者的产品通常称为 DDI 平台。集成可以让变更保持一致，但单独一条 IPAM 记录不会配置路由器、验证用户身份或使应用可达。这些效果取决于连接的系统及其实际配置。

发现工具、DHCP 租约、设备记录和云 API 都会提供观察结果。应将它们与预期分配进行比较。意外出现的设备需要调查；看似缺失的设备可能正在休眠、位于过滤器之后，或是为恢复而保留。

假设一台服务器已经移除，但其地址仍在合作伙伴的访问列表中。重新分配这个地址可能产生后果，即使旧服务器从未响应扫描。退役因此包括检查依赖关系，并在地址再次可用前确认服务已经结束。

两间办公室可以独立使用同一个私有范围。通过 VPN 连接或公司合并时，问题可能出现。不同的路由域也可以有意包含重叠空间。VRF 表示一个独立的路由表，有助于保持这些上下文彼此区分。

因此，重要的记录不只是数字本身，还包括该数字在哪里适用，以及预期哪些网络会互相通信。这样，在连接成为实时路由问题之前，就更容易规划未来的连接。

IPv4 和 IPv6 是不同的地址族。双栈运行支持两者，但不意味着每台设备恰好拥有两个地址。一个接口可能有多个 IPv6 地址，包括通过无状态地址自动配置形成的地址。临时地址也会使简单的设备到地址列表随着时间变得不完整。

除了单个地址，还要管理前缀、生命周期和观察来源。IPAM 产品只能看到其集成能够观察到的内容。协议选择应服从服务可达性、设备支持和运营需求。IPv6 空间很大，并不会消除规划的必要；只要 IPv4 服务仍在运行，更好的 IPv4 管理就仍有价值。

共享清单可以支持委派管理：每个站点在约定范围内管理自己的分配，同时其他人也能看到结果。保留持久标识符、可读的导出文件和变更历史。要决定管理工具不可用时，现有服务和紧急配置应如何运行。

从一个环境开始。核对其中的记录，确认负责人员，并测试一次完整的分配和退役流程。衡量同事是否更容易回答开头的四个问题，再根据证据扩展。

这项日常工程工作背后还有一个更广泛的区别。Lu Heng 在第 67 号笔记中主张，提供协调服务并不意味着提供者对用户拥有主权。在网络内部，记录同样是为了帮助人们运营。接下来阅读如何评估 IPAM 工具。