Sayt VPN-dən əvvəl alt şəbəkələri planlayın: yenidən nömrələyin və ya tərcümə edin

İki ofis də 192.168.1.0/24 istifadə edir, çünki heç kim başqa cür planlaşdırmayıb və tunelin bunu həll edəcəyi gözlənilir. O, bunu edə bilməz: marşrutlaşdırıcı eyni şəxsi ünvanı iki fərqli yer mənasına gətirə bilməz. Bunun qarşısını alan iş ilk tunel parametri yazılmazdan əvvəl görülür.

Hər diapazonu, unutduqlarınız da daxil olmaqla inventarlaşdırın

LAN-ları, server seqmentlərini, uzaq giriş müştəri hovuzlarını, bulud VPC diapazonlarını və hostların çatmalı olduğu hər hansı konteyner və ya örtük şəbəkələrini toplayın. Müştəri hovuzları insanların unutduqlarıdır və onlar təəccüblü dərəcədə tez-tez ofis diapazonu ilə üst-üstə düşür, çünki hər ikisi eyni ilkin dəyərdən seçilib. İdarəetmə şəbəkəsini və istənilən zolaqdan kənar seqmenti daxil edin.

Sahibi, şlüzü, məqsədi və prefiksin digər saytdan əlçatan olub-olmadığını qeyd edin. Heç vaxt tuneldən keçməsi lazım olmayan prefiksin unikal olması vacib deyil və bunu bilmək yenidən nömrələmə işini azaldır.

IPv6-nı ayrıca edin, çünki onun planı və üst-üstə düşmələri müstəqildir.

Tanış ünvanları deyil, prefiksləri müqayisə edin

Fərqli host ünvanları olan iki şəbəkə yenə də üst-üstə düşə bilər, çünki üst-üstə düşmə maskaların xassəsidir, insanların xatırladığı rəqəmlərin deyil. 10.20.0.0/16, 10.20.30.0/24-ü ehtiva edir, kimsə bunu ucadan desə də, deməsə də. Tam prefiks cütlərini müqayisə edin və aqreqatları onların içindəki kiçik şəbəkələrə qarşı yoxlayın. Buna görə yoxlama kiminsə beynində deyil, cədvəldə olmalıdır.

Eyni yoxlama VPN-in öz müştəri hovuzuna və daxil etməyi planlaşdırdığınız hər hansı tərcümə olunmuş diapazona da aiddir, çünki toqquşan tərcümə olunmuş diapazon ilkin üst-üstə düşmədən daha pisdir.

Maskalarla prefikslər cədvəli kifayətdir; maskasız diaqram deyil.

Həqiqətən nəyin keçməli olduğuna qərar verin

Bir saytda otuz alt şəbəkə ola bilər, halbuki bir xidmət şəbəkəsi uzaq girişə ehtiyac duyur. Bu tələbdən başlayın və yalnız ona lazım olanı elan edin, çünki daha kiçik elanlar və uyğun giriş qaydaları nəzərdən keçirilməsi daha asan və təsadüfən genişləndirilməsi daha çətindir. İstifadədə olan hər şəxsi diapazonu elan etmək tuneli körpüyə çevirən vərdişdir. Elan nə qədər dar olsa, gələcək səhvin təsir radiusu bir o qədər kiçik olar.

Şəxsi DNS nəzərdə tutulan müştərilərin çata bildiyi ünvanları qaytarmalıdır, ona görə də elan olunmamış və ya üst-üstə düşən diapazona işarə edən ad sorğu uğurlu olsa belə, pozulmuş qalır.

Giriş siyahısını tunel konfiqurasiyasından əvvəl yazın, uğursuz olduqdan sonra deyil.

Yenidən nömrələyin və ya tərcümə edin, xərci bilin

Bir şəbəkənin yenidən nömrələnməsi adətən ən aydın uzunmüddətli həlldir və o, rezervasiyalara, cihazlara, DNS-ə, firewall qaydalarına və konfiqurasiyaya ünvanı həkk olunmuş hər şeyə toxunur. Giriş diapazonunu tərcümə etmək yenidən nömrələmə qeyri-mümkün olduqda alternativdir və o, mənbə kimliyinə və ünvanları yükə yerləşdirən bir sıra protokollara başa gəlir. Birini seçin və bitirin, çünki yarım yenidən nömrələnmiş şəbəkə iki variantdan da pisdir.

Hansını seçsəniz də, həm orijinal, həm də təqdim olunan ünvanı sənədləşdirin, çünki sonrakı hər problem aradan qaldırma söhbəti onlara ehtiyac duyur.

Cavab yolu olmayan müvəqqəti həll müvəqqəti həll deyil.

Marşrut matrisini qəbul testi kimi istifadə edin

Bir matrislə bitirin: yerli prefiks, uzaq prefiks, icazə verilən xidmət və qayıdış şlüzü. Bu cədvəl tunel qalxdıqda qəbul testidir və həm də növbəti mühəndisin oxuyacağı sənəddir. Şlüzlərdən deyil, seçilmiş alt şəbəkələrdəki real hostlardan test edin.

Tunel ünvanları arasında ping tunelin mövcud olduğunu sübut edir, arxasındakı ünvan planı haqqında heç nə demir.

Matrisi tunel konfiqurasiyası ilə birlikdə saxlayın və növbəti sayt əlavəsi yaddaşdan deyil, məlumatdan başlayır. Plan mövcud olduqdan sonra strongSwan yönləndirmə təlimatı şlüz tərəfini əhatə edir.