Beplan subnetten voor 'n terrein-VPN: hernommer of vertaal
Twee terreine kan dieselfde private reeks deel, en geen tonnel los dit op nie. Inventariseer voorvoegsels met maskers, besluit wat oorsteek, en hernommer of vertaal dan.
Twee kantore gebruik albei 192.168.1.0/24 omdat niemand anders beplan het nie, en daar word van die tonnel verwag om dit reg te maak. Dit kan nie: 'n roeteerder kan nie dieselfde private adres twee verskillende plekke laat beteken nie. Die werk wat dit voorkom, gebeur voordat die eerste tonnelparameter ingetik word.
Inventariseer elke reeks, ook dié wat jy vergeet het
Versamel die LAN's, bedienersegmente, afstandtoegang-kliëntpoele, wolke-VPC-reekse en enige houer- of oorlegnetwerke wat gashere moet bereik. Kliëntpoele is dié wat mense vergeet, en hulle oorvleuel verbasend dikwels met 'n kantoorreeks omdat albei uit dieselfde verstek gekies is. Sluit die bestuursnetwerk en enige buiteband-segment in.
Teken eienaar, poort, doel en of die voorvoegsel van die ander terrein bereikbaar moet wees aan. 'n Voorvoegsel wat nooit deur die tonnel hoef te gaan nie, hoef nie uniek te wees nie, en om dit te weet verminder die hernommeringswerk.
Doen IPv6 apart, want sy plan en sy oorvleuelings is onafhanklik.
Vergelyk voorvoegsels, nie bekende adresse nie
Twee netwerke met verskillende gasheeradresse kan steeds oorvleuel, want oorvleueling is 'n eienskap van maskers eerder as van die nommers wat mense onthou. 10.20.0.0/16 bevat 10.20.30.0/24 of iemand dit nou hardop sê of nie. Vergelyk volle voorvoegselpare, en kontroleer samevoegings teen die kleiner netwerke binne hulle. Daarom hoort die kontrole in 'n sigblad eerder as in iemand se kop.
Dieselfde kontrole geld vir die VPN se eie kliëntpoel en vir enige vertaalde reeks wat jy beplan om in te voer, want 'n vertaalde reeks wat bots is erger as die oorspronklike oorvleueling.
'n Tabel van voorvoegsels met maskers is genoeg; 'n diagram sonder maskers is nie.
Besluit wat werklik moet oorsteek
'n Terrein kan dertig subnetten bevat terwyl een diensnetwerk afstandtoegang nodig het. Begin by daardie vereiste en adverteer net wat dit nodig het, want kleiner advertensies en bypassende toegangsreëls is makliker om na te gaan en moeiliker om per ongeluk te verbreed. Om elke private reeks in gebruik aan te kondig, is 'n gewoonte wat 'n tonnel in 'n brug verander. Hoe smaller die advertensie, hoe kleiner die impakradius van 'n toekomstige fout.
Private DNS moet adresse teruggee wat die beoogde kliënte kan bereik, so 'n naam wat na 'n nie-geadverteerde of oorvleuelende reeks wys, bly stukkend selfs wanneer die opsoek slaag.
Skryf die toegangslys voor die tonnelkonfigurasie, nie nadat dit misluk het nie.
Hernommer of vertaal, en ken die koste
Die hernommering van een netwerk is gewoonlik die duidelikste langtermynoplossing, en dit raak reserverings, toestelle, DNS, brandmuurreëls en enigiets met 'n adres wat in 'n konfigurasie ingebak is. Om 'n toegangsreeks te vertaal is die alternatief wanneer hernommering onprakties is, en dit kos bronidentiteit plus 'n klas protokolle wat adresse in hul loonvragte inbed. Kies een en maak dit klaar, want 'n half-hernommerde netwerk is erger as enige van die twee opsies.
Wat jy ook al kies, dokumenteer beide die oorspronklike en die aangebode adres, want elke latere probleemoplossingsgesprek het hulle nodig.
'n Oplossing sonder 'n terugpad is nie 'n oplossing nie.
Gebruik 'n roetematriks as die aanvaardingstoets
Eindig met 'n matriks: plaaslike voorvoegsel, afstandvoorvoegsel, toegelate diens en terugkeerpoort. Daardie tabel is die aanvaardingstoets wanneer die tonnel opkom, en dit is ook die dokument wat die volgende ingenieur sal lees. Toets vanaf werklike gashere op die gekose subnetten eerder as vanaf die poorte.
'n Ping tussen tonneladresse bewys die tonnel bestaan en niks oor die adresplan daar agter nie.
Hou die matriks by die tonnelkonfigurasie, en die volgende terreinbyvoeging begin met data eerder as geheue. Die strongSwan-aanstuurids dek die poortkant sodra die plan bestaan.