خطّط للشبكات الفرعية قبل إنشاء VPN بين المواقع: أعد الترقيم أو استخدم الترجمة

يستخدم مكتبان كلاهما 192.168.1.0/24 لأن أحدًا لم يخطط غير ذلك، ويُتوقع من النفق أن يحل المشكلة. لكنه لا يستطيع: لا يمكن لموجّه أن يجعل العنوان الخاص نفسه يعني مكانين مختلفين. العمل الذي يمنع ذلك يحدث قبل كتابة أول معامل للنفق.

احصر كل نطاق، بما في ذلك ما نسيته

اجمع الشبكات المحلية وقطاعات الخوادم ومجموعات عملاء الوصول البعيد ونطاقات VPC السحابية وأي شبكات حاويات أو شبكات تراكب تحتاج المضيفات إلى الوصول إليها. مجموعات العملاء هي التي ينساها الناس، وهي تتداخل مع نطاق مكتب كثيرًا بشكل مفاجئ لأن كليهما اختير من الإعداد الافتراضي نفسه. أدرج شبكة الإدارة وأي قطاع خارج النطاق.

سجّل المالك والبوابة والغرض وما إذا كان يجب الوصول إلى البادئة من الموقع الآخر. البادئة التي لا تحتاج أبدًا إلى عبور النفق لا يلزم أن تكون فريدة، ومعرفة ذلك يقلل عمل إعادة الترقيم.

تعامل مع IPv6 بشكل منفصل، لأن خطته وتداخلته مستقلة.

قارن البادئات، لا العناوين المألوفة

يمكن أن تتداخل شبكتان بعناوين مضيف مختلفة، لأن التداخل خاصية للأقنعة لا للأرقام التي يتذكرها الناس. 10.20.0.0/16 يحتوي على 10.20.30.0/24 سواء قال أحد ذلك بصوت عالٍ أم لا. قارن أزواج البادئات الكاملة، وتحقق من التجميعات مقابل الشبكات الأصغر داخلها. لهذا ينتمي هذا الفحص إلى جدول بيانات لا إلى رأس أحدهم.

ينطبق الفحص نفسه على مجموعة عملاء VPN نفسها وعلى أي نطاق مترجم تخطط لإدخاله، لأن نطاقًا مترجمًا يتعارض أسوأ من التداخل الأصلي.

يكفي جدول للبادئات مع الأقنعة؛ أما الرسم البياني بدون أقنعة فلا يكفي.

قرر ما يجب أن يعبر فعلاً

قد يحتوي الموقع على ثلاثين شبكة فرعية بينما تحتاج شبكة خدمة واحدة إلى وصول بعيد. ابدأ من هذا الشرط وأعلن فقط ما يحتاجه، لأن الإعلانات الأصغر وقواعد الوصول المطابقة أسهل في المراجعة وأصعب في التوسيع بالخطأ. الإعلان عن كل نطاق خاص قيد الاستخدام عادة تحوّل النفق إلى جسر. وكلما ضاق الإعلان، صغر نطاق تأثير خطأ مستقبلي.

يجب أن تعيد DNS الخاصة عناوين يمكن للعملاء المقصودين الوصول إليها، لذا يظل الاسم الذي يشير إلى نطاق غير معلن أو متداخل معطلًا حتى عندما ينجح الاستعلام.

اكتب قائمة الوصول قبل إعداد النفق، لا بعده عندما يفشل.

أعد الترقيم أو استخدم الترجمة، واعرف التكلفة

إعادة ترقيم شبكة واحدة هي عادة العلاج الأوضح على المدى الطويل، وهي تمس الحجوزات والأجهزة وDNS وقواعد جدار الحماية وأي شيء له عنوان مثبت في إعداد. أما ترجمة نطاق وصول فهي البديل عندما تكون إعادة الترقيم غير عملية، وتكلفتها هوية المصدر زائد فئة من البروتوكولات التي تدمج العناوين في حمولاتها. اختر واحدة وأكملها، لأن شبكة نصف مُرقَّمة أسوأ من أي من الخيارين.

أيًا كان اختيارك، وثّق العنوان الأصلي والعنوان المعروض، لأن كل محادثة استكشاف أخطاء لاحقة تحتاجهما.

الحل البديل بدون مسار رجوع ليس حلًا.

استخدم مصفوفة المسارات كاختبار القبول

أنهِ العمل بمصفوفة: البادئة المحلية، البادئة البعيدة، الخدمة المسموح بها وبوابة الرجوع. هذا الجدول هو اختبار القبول عند تشغيل النفق، وهو أيضًا المستند الذي سيقرأه المهندس التالي. اختبر من مضيفات حقيقية على الشبكات الفرعية المختارة لا من البوابات.

اختبار ping بين عناوين النفق يثبت وجود النفق ولا يثبت شيئًا عن خطة العناوين خلفه.

احفظ المصفوفة مع إعداد النفق، فيبدأ إضافة الموقع التالي من البيانات لا من الذاكرة. ويغطي دليل إعادة التوجيه من strongSwan جهة البوابة بمجرد وجود الخطة.