Hoe om adresruimte vir 'n werf-tot-werf-VPN te beplan

Vra hoe groot die VPN-subnet moet wees en die eerlike antwoord is dat daar vier verskillende subnette binne die vraag kan wees. 'n Werf-VPN kan vervoereindpunte, genommerde tonnelverbindings, die beskermde LAN-voorvoegsels en, op bestuurde poorte, 'n infrastruktuursubnet wat die verskaffer reserveer, behels. Slegs een of twee daarvan bestaan in 'n gegewe ontwerp. Om hulle uit die aantal kantooroestelle te bepaal, is hoe 'n plan met 'n /24 geëindig het wat niemand tevrede stel nie.

Noem die vier rolle voordat jy enigiets toeken

Vervoereindpunte is die adresse wat twee poorte gebruik om mekaar oor die internet of 'n private stroombaan te bereik, en hulle aantal kom uit die poort- en oortolligheidsmodel, nie uit die LAN nie. Binne tonnelverbindings bestaan net waar die ontwerp 'n punt-tot-punt-koppelvlak nommer, wat 'n beleidsgebaseerde IPsec-konfigurasie tipies nie doen nie. Beskermde voorvoegsels is die werklike kantoor- of VPC-netwerke wat roeteerbaar moet wees, en die verskaffer-gereserveerde subnet behoort aan die bestuurde diens.

Inventariseer wat reeds bestaan voordat jy iets byvoeg, want die duur fout hier is om 'n voorvoegsel te hergebruik wat reeds elders geroteer word. 'n Verouderde tonnel uit 'n loodsprojek is genoeg om 'n plan te vergiftig. Skryf die inventaris met datums neer, want die herinnering aan 'n buite bedryf gestelde verbinding leef langer as die verbinding self.

ip -br addr show
ip route show | head -40

Daardie twee opdragte gee die plaaslike beeld van verbonde netwerke en van die roetes wat alles daarbuite bereik. Herhaal die inventaris by elke werf, want 'n plan wat uit een werf se uitset gebou is, sal met die volgende een bots. Versamel die uitsette voordat jy 'n enkele blok toeken.

Tel verbindings en topologie, nie toestelle nie

'n Ontwerp met agt punt-tot-punt-bure verbruik agt blokke, nie een nie. By /30 spandeer elke blok vier adresse om twee gashere te verbind, so die plan dra twee-en-dertig adresse vir sestien bruikbare eindpunte, en dit is die syfer wat die begroting moet hou. 'n Platform wat /31-verbindings ondersteun, spandeer die helfte, maar net wanneer beide kante en die diens oor daardie model saamstem. Rond die begroting op eerder as af, want om 'n blok later te verklein beteken om lewende verbindings te hernommer.

Verskafferbeperkings wen van algemene praktyk. 'n Gedokumenteerde binne-tonnelreeks kan /30 vereis selfs waar /31 op jou routers werk, en 'n bestuurde poort kan 'n spesifieke masker vir sy eie subnet vereis. Lees die diensvereiste voordat jy 'n duimreël van 'n ander platform toepas.

'n Multipunt-oortrekking verander die rekenkunde weer: een adres per poort, met die oortrekking wat bereikbaarheid tussen hulle hanteer. Besluit watter topologie die implementering werklik gebruik voordat jy werwe met 'n blokgrootte vermenigvuldig.

Groei verdien sy eie reël in die plan. Om 'n samehangende infrastruktuurreeks te reserveer is redelik, en so ook om aan te teken watter kleiner toekennings daarbinne sit, sodat die volgende ingenieur die reservering nie as een uitsaaidomein lees nie.

Hou die poortsubnet uit die LAN-poel

Bestuurde poortinfrastruktuur is nie 'n kliëntpoel nie. Die adresse in 'n gereserveerde poortsubnet huisves die diens se eie komponente, en afstandwerkers trek nooit daaruit nie. Om daardie subnet uit die gebruikerstelling te bepaal, is 'n kategorie-fout wat óf 'n groot reeks mors óf die poort honger laat.

Dieselfde geld vir tonnelreekse op wolk-VPN-verbindings, waar die verskaffer 'n klein binne-reeks per tonnel vir sy eie gebruik toeken. Daardie reeks is nie waar jou takbedieners woon nie, en dit is nie joune om uit te deel nie.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Om die buiteadresse te lys, bevestig wat die verskaffer toegeken het en watter oortollige tonnel tans op is. Dit is vinniger as om 'n ontwerpdokument te lees wat geskryf is voordat die verbinding bestaan het.

Teken rol, eienaar en groei vir elke voorvoegsel aan

'n Plan wat kontak met die bedryf oorleef, stel vir elke voorvoegsel wat sy rol is, wie die verre punt toeken en hoeveel spasie dit het. Sonder die eienaarveld ken twee spanne dieselfde /24 in dieselfde kwartaal toe, en die botsing wys eers wanneer die tonnel opkom.

Hou hierdie reekse weg van huis- en takvoorvoegsels wat deur ander tonnels inkom, want oorvleuelende adresruimte is die gewone rede waarom 'n werf-tot-werf-verbinding suksesvol onderhandel en dan geen verkeer deurlaat nie.

Om binne-verbindingsadresse toe te ken, adverteer nie die LAN's daaragter nie. Roetes of verkeerskeurders, terugpaaie en toegangsreëls is aparte werkitems, en die plan moet dit sê eerder as om te impliseer dat 'n genommerde koppelvlak die roetering vir jou doen.