كيف تحدد حجم فضاء العناوين لشبكة VPN بين المواقع

اسأل عن الحجم الذي ينبغي أن تكون عليه الشبكة الفرعية للـ VPN وستكون الإجابة الصادقة أن السؤال قد يحتوي على أربع شبكات فرعية مختلفة. قد تتضمن شبكة VPN للموقع نقاط نهاية النقل، ووصلات النفق المرقّمة، وبادئات شبكة LAN المحمية، وعلى البوابات المُدارة شبكة فرعية للبنية التحتية يحتفظ بها المزوّد. لا يوجد في تصميم معيّن سوى واحدة أو اثنتين منها. تحديد أحجامها من عدد أجهزة المكتب هو الطريق الذي ينتهي به المخطط إلى /24 لا يُرضي أحداً.

سمِّ الأدوار الأربعة قبل أن تخصّص أي شيء

نقاط نهاية النقل هي العناوين التي تستخدمها بوابتان للوصول إلى بعضهما عبر الإنترنت أو دائرة خاصة، ويأتي عددها من نموذج البوابة والتكرار لا من شبكة LAN. لا توجد وصلات النفق الداخلية إلا حين يرقّم التصميم واجهة نقطة إلى نقطة، وهو ما لا تفعله عادةً تهيئة IPsec القائمة على السياسات. البادئات المحمية هي شبكات المكتب أو VPC الحقيقية التي يجب أن تكون قابلة للتوجيه، أما الشبكة الفرعية التي يحتفظ بها المزوّد فتنتمي إلى الخدمة المُدارة.

اجرد ما هو موجود بالفعل قبل أن تضيف أي شيء، لأن الخطأ المكلف هنا هو إعادة استخدام بادئة موجهة بالفعل في مكان آخر. نفق قديم من مشروع تجريبي يكفي لإفساد مخطط. اكتب الجرد مع التواريخ، لأن ذكرى وصلة أُخرجت من الخدمة تعيش أطول من الوصلة نفسها.

ip -br addr show
ip route show | head -40

يمنحك هذان الأمران الرؤية المحلية للشبكات المتصلة وللمسارات التي تصل إلى كل ما هو خارجها. كرر الجرد في كل موقع، لأن مخططاً مبنياً على مخرجات موقع واحد سيتعارض مع مخرجات الموقع التالي. اجمع المخرجات قبل أن تخصّص كتلة واحدة.

احسب الوصلات والطوبولوجيا، لا الأجهزة

تصميم بثمانية تجاورات نقطة إلى نقطة يستهلك ثماني كتل، لا كتلة واحدة. عند /30 تنفق كل كتلة أربعة عناوين لربط مضيفين، فيحمل المخطط اثنين وثلاثين عنواناً لستة عشر نقطة نهاية قابلة للاستخدام، وهذا هو الرقم الذي يجب أن تتحمله الميزانية. والمنصة التي تدعم وصلات /31 تنفق النصف، لكن فقط عندما يتفق الطرفان والخدمة على هذا النموذج. قرّب الميزانية إلى أعلى لا إلى أدنى، لأن تصغير كتلة لاحقاً يعني إعادة ترقيم وصلات عاملة.

قيود المزوّد تسبق الممارسة العامة. قد يتطلب نطاق نفق داخلي موثّق /30 حتى حيث يعمل /31 على موجهاتك، وقد تطالب بوابة مُدارة بقناع محدد لشبكتها الفرعية. اقرأ متطلب الخدمة قبل تطبيق قاعدة تقريبية مستعارة من منصة أخرى.

تغيّر طبقة التراكب متعددة النقاط الحساب مرة أخرى: عنوان واحد لكل بوابة، والتراكب يتولى الوصول بينها. قرّر أي طوبولوجيا تستخدمها التنفيذات فعلياً قبل ضرب المواقع بحجم كتلة.

يستحق النمو سطره الخاص في المخطط. حجز نطاق بنية تحتية متسق أمر معقول، وكذلك تسجيل التخصيصات الأصغر التي تقع داخله، حتى لا يقرأ المهندس التالي الحجز كنطاق بث واحد.

أبقِ الشبكة الفرعية للبوابة خارج مجمّع شبكة LAN

بنية البوابة المُدارة ليست مجمّع عملاء. العناوين في شبكة فرعية محجوزة للبوابة تستضيف مكوّنات الخدمة نفسها، والعاملون عن بُعد لا يسحبون منها أبداً. تحديد حجم هذه الشبكة الفرعية من عدد المستخدمين خطأ فئوي إما أن يهدر نطاقاً كبيراً أو أن يجوّع البوابة.

ينطبق الأمر نفسه على نطاقات الأنفاق في اتصالات VPN السحابية، حيث يخصص المزوّد نطاقاً داخلياً صغيراً لكل نفق لاستخدامه الخاص. هذا النطاق ليس المكان الذي تعيش فيه خوادم الفرع، وليس ملكك لتوزيعه.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

إدراج العناوين الخارجية يؤكد ما خصصه المزوّد وأي نفق احتياطي نشط الآن. هذا أسرع من قراءة مستند تصميم كُتب قبل وجود الاتصال.

سجّل الدور والمالك والنمو لكل بادئة

المخطط الذي ينجو من ملامسة التشغيل يذكر لكل بادئة الدور الذي تؤديه، ومن يخصص الطرف البعيد، ومقدار الهامش المتاح. بلا حقل المالك، تخصص فرقتان نفس /24 في الربع نفسه، ولا يظهر التعارض إلا عند رفع النفق.

أبقِ هذه النطاقات بعيداً عن بادئات المنازل والفروع التي تصل عبر أنفاق أخرى، لأن تداخل الفضاء هو السبب المعتاد لنجاح اتصال بين الموقعين في التفاوض ثم عدم تمرير أي حركة.

تخصيص عناوين الوصلة الداخلية لا يعلن شبكات LAN التي خلفها. المسارات أو محدّدات الحركة ومسارات العودة وقواعد الوصول بنود عمل منفصلة، وينبغي للمخطط أن يقول ذلك بدلاً من الإيحاء بأن واجهة مرقّمة تتولى التوجيه عنك.