Hoe om adresruimte vir ’n multiterrein-VPN te begroot

Hoe groot die VPN-subnet moet wees, het geen antwoord voordat jy noem watter adresse jy tel nie. In een ontwerp is daardie adresse die twee eindpunte van ’n genommerde tonnelverbinding, in ’n ander is dit die kantoor-LAN agter ’n beleidsgebaseerde tonnel, en in ’n derde is dit die gereserveerde infrastruktuur van ’n bestuurde poort. Drie voorwerpe, drie begrotings, en die meeste groottefoute kom daarvan om een kolom met ’n ander kolom se getal te vul.

Vier rolle, vier verskillende vrae

Die buitenste vervoer is die adres waaraan ’n eweknie koppel, so sy grootte volg jou openbare adressering of dié van die verskaffer, nooit die aantal toestelle daar agter nie. Binne-tonnelverbindings bestaan net in ontwerpe wat ’n virtuele koppelvlak nommer, en daar volg die aantal die topologie se aangrensinge. Beskermde LAN-voorvoegsels volg die werklike netwerke en hul groeiplan. Verskaffer-gereserveerde infrastruktuur volg wat die bestuurde diens dokumenteer.

Net die derde daarvan het enige verband met hoeveel skootrekenaars die kantoor bevat. Daardie enkele verwarring verduidelik die meeste van die argumente.

Skryf die vier rolle as aparte kolomme voordat jy ’n sakrekenaar oopmaak. Elkeen kry sy eie toewysing, eienaar en groeiaanname, en nie een van hulle erf ’n ander se grootte nie. Wanneer ’n ontwerp geen genommerde binneverbinding het nie, is daardie kolom leeg eerder as klein, en ’n leë kolom is ’n feit wat die moeite werd is om vir die volgende beoordelaar aan te teken.

Blokke tel: wat ’n /30 werklik kos

’n Punt-tot-punt-verbinding benodig twee adresse en verbruik ’n blok waarvan die grootte van die platform afhang. ’n /30 hou vier adresse, waarvan twee gewoonlik bruikbaar is, so twaalf verbindings verbruik agt-en-veertig adresse in die plan terwyl dit vier-en-twintig eindpunte bied. ’n /31 hou twee adresse en albei is bruikbaar, wat die rekenkunde halveer, maar net waar albei kante dit aanvaar.

RFC 3021 definieer die twee-adresmodel, en ondersteuning is ’n eienskap van die eindpunte en die diens eerder as van goeie bedoelings. ’n Verskaffer se API kan sy eie maskervereiste op ’n binne-tonnelopsie oplê, en ’n algemene RFC hef nie ’n gedokumenteerde beperking op nie. Kontroleer wat jou platform sê voordat jy die begroting opsom, want die verskil tussen agt-en-veertig en vier-en-twintig adresse bepaal of die plan in die gereserveerde reeks pas. Doen die rekenwerk eerder as om dit aan die einde van ’n lang dag te vertrou.

ipcalc -n 10.44.12.0/30
ipcalc -n 10.44.12.4/31

Vermenigvuldig eers nadat die topologie vasgestel is. Twaalf aparte verbindings en een multipunt-oorleg met twaalf deelnemers lewer baie verskillende totale uit dieselfde terreintelling.

Die bestuurde poort se subnet is nie ’n kliëntpoel nie

’n Bestuurde diens reserveer dikwels ’n subnet vir sy eie poortinfrastruktuur, en daardie subnet word deur die diens verbruik eerder as aan kliënte oorhandig. Dit het ’n gedokumenteerde grootte, soms ’n gedokumenteerde naam, en geen verband met hoeveel gebruikers koppel nie. Om dit as die adrespoel vir afgeleë masjiene te behandel, lewer ’n ontwerp wat homself op die eerste besige oggend uitput.

Lees die verskaffer se vereiste as ’n vaste koste, soos jy ’n rek-eenheid sou behandel. Dit is nie deel van die beskermde voorvoegselbegroting nie.

Dieselfde lesing geld vir name. ’n Subnet wie se gedokumenteerde doel poortinfrastruktuur is, is by konvensie infrastruktuur in daardie diens, en om dit te hernoem om by jou eie skema te pas, breek die ontplooiing eerder as om die diagram te verbeter. Hou die verskaffer se name en groottes, en bestee jou eie nommering aan die dele wat jy beheer.

Dokumenteer die plan sodat dit die tweede terrein oorleef

’n Plan wat in een ingenieur se kop leef, faal by die eerste oorvleueling tussen ’n kantoorvoorvoegsel en ’n tuisroeteerder se verstekreeks. Publiseer die toewysings met hul eienaars, en noem watter kant van elke verbinding watter adres toeken. Roetes of selektore moet steeds geadverteer word, want om ’n binneverbinding te nommer, publiseer nie self ’n LAN nie.

Teken die groeiaanname agter elke blok aan, want dit is die deel wat geen latere leser uit die adresse alleen kan rekonstrueer nie.

Toets dan die plan teen die ongemaklike gevalle: ’n terrein wat aankom met ’n voorvoegsel wat jy al gebruik, ’n verbinding waarvan iemand anders die verre kant bestuur, en ’n streek waarvan die verskafferveriste van die eerste een verskil wat jy gedokumenteer het. As enige van dié ’n herontwerp afdwing, was wat jy gehad het ’n diagram eerder as ’n beleid. ’n Plan wat hulle oorleef, is kort genoeg om in die bewaarplek langs die tonnelkonfigurasie te sit, wat presies is waar die volgende persoon dit sal soek.