Saytlar arası VPN üçün ünvan məkanını necə ölçmək olar

VPN alt şəbəkəsinin nə qədər böyük olmalı olduğunu soruşun və dürüst cavab budur ki, sualın içində dörd fərqli alt şəbəkə ola bilər. Sayt VPN-i daşıma son nöqtələrini, nömrələnmiş tunel bağlantılarını, qorunan LAN prefikslərini və idarə olunan şlüzlərdə provayderin ayırdığı infrastruktur alt şəbəkəsini əhatə edə bilər. Müəyyən bir layihədə bunlardan yalnız biri və ya ikisi olur. Onları ofis cihazlarının sayından ölçmək, planın heç kimi qane etməyən bir /24 ilə bitməsinin yoludur.

Hər hansı bir şey ayırmadan əvvəl dörd rolu adlandırın

Daşıma son nöqtələri iki şlüzün internet və ya özəl dövrə üzərindən bir-birinə çatmaq üçün istifadə etdiyi ünvanlardır və onların sayı LAN-dan deyil, şlüz və ehtiyat modellindən gəlir. Daxili tunel bağlantıları yalnız layihənin nöqtədən-nöqtəyə interfeysi nömrələdiyi yerlərdə olur; siyasət əsaslı IPsec konfiqurasiyası bunu adətən etmir. Qorunan prefikslər marşrutlaşdırıla bilən olmalı real ofis və ya VPC şəbəkələridir və provayderin ayırdığı alt şəbəkə idarə olunan xidmətə aiddir.

Bir şey əlavə etməzdən əvvəl mövcud olanı inventarlaşdırın, çünki burada bahalı səhv artıq başqa yerdə marşrutlaşdırılan prefiksi təkrar istifadə etməkdir. Pilot layihədən qalan köhnə tunel bir planı zəhərləməyə kifayətdir. İnventarı tarixlərlə yazın, çünki istismardan çıxarılmış bağlantının xatirəsi bağlantının özündən daha uzun yaşayır.

ip -br addr show
ip route show | head -40

Bu iki əmr qoşulmuş şəbəkələrin və onların arxasındakı hər şeyə çatan marşrutların yerli görünüşünü verir. İnventarı hər saytda təkrarlayın, çünki bir saytın çıxışı əsasında qurulan plan növbətinin çıxışı ilə toqquşacaq. Tək bir blok ayırmadan əvvəl çıxışları toplayın.

Cihazları deyil, bağlantıları və topologiyanı sayın

Səkkiz nöqtədən-nöqtəyə qonşuluğu olan layihə səkkiz blok sərf edir, bir deyil. /30-da hər blok iki hostu birləşdirmək üçün dörd ünvan xərcləyir, buna görə plan on altı istifadə oluna bilən son nöqtə üçün otuz iki ünvan daşıyır və büdcənin dayanmalı olduğu rəqəm budur. /31 bağlantılarını dəstəkləyən platforma bunun yarısını xərcləyir, ancaq hər iki tərəf və xidmət bu modellə razılaşdıqda. Büdcəni aşağı deyil, yuxarı yuvarlaqlaşdırın, çünki bir bloku sonradan kiçiltmək canlı bağlantıları yenidən nömrələmək deməkdir.

Provayder məhdudiyyətləri ümumi praktikadan üstündür. Sənədləşdirilmiş daxili tunel aralığı, marşrutlaşdırıcılarınızda /31 işlədiyi yerdə belə /30 tələb edə bilər və idarə olunan şlüz öz alt şəbəkəsi üçün müəyyən maska tələb edə bilər. Başqa platformadan götürülmüş təcrübi qaydanı tətbiq etməzdən əvvəl xidmət tələbini oxuyun.

Çoxnöqtəli örtük arifmetikanı yenidən dəyişir: şlüz başına bir ünvan, aralarındakı əlçatanlığı örtük idarə edir. Saytları blok ölçüsü ilə vurmadan əvvəl tətbiqin həqiqətən hansı topologiyadan istifadə etdiyinə qərar verin.

Böyümə planda öz sətrini haqq edir. Ardıcıl infrastruktur aralığı ayırmaq məqbuldur, hansı kiçik ayrımların onun içində olduğunu qeyd etmək də belə, ki növbəti mühəndis ayırmanı bir yayım domeni kimi oxumasın.

Şlüz alt şəbəkəsini LAN hovuzundan kənarda saxlayın

İdarə olunan şlüz infrastrukturu müştəri hovuzu deyil. Ayrılmış şlüz alt şəbəkəsindəki ünvanlar xidmətin öz komponentlərini yerləşdirir və uzaq işçilər heç vaxt oradan götürmür. Həmin alt şəbəkəni istifadəçi sayından ölçmək ya böyük bir aralığı israf edən, ya da şlüzü ac qoyan kateqoriya səhvidir.

Eyni şey bulud VPN bağlantılarındakı tunel aralıqlarına da aiddir; burada provayder hər tunel üçün öz istifadəsinə kiçik bir daxili aralıq ayırır. Həmin aralıq filial serverlərinizin yaşadığı yer deyil və onu paylamaq sizə aid deyil.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Xarici ünvanları sadalamaq provayderin nə ayırdığını və hansı ehtiyat tunelin hazırda aktiv olduğunu təsdiqləyir. Bağlantı mövcud olmadan yazılmış layihə sənədini oxumaqdan daha sürətlidir.

Hər prefiks üçün rolu, sahibi və böyüməni qeyd edin

Əməliyyatla təmasdan sağ çıxan plan hər prefiks üçün onun hansı rolu oynadığını, uzaq ucun kim tərəfindən ayrıldığını və nə qədər ehtiyat qaldığını bildirir. Sahib sahəsi olmadan iki komanda eyni rübdə eyni /24-ü ayırır və toqquşma yalnız tunel qalxdıqda ortaya çıxır.

Bu aralıqları digər tunellərdən gələn ev və filial prefikslərindən uzaq saxlayın, çünki üst-üstə düşən ünvan məkanı saytlar arası bağlantının uğurla razılaşıb sonra heç bir trafik ötürməməsinin adi səbəbidir.

Daxili bağlantı ünvanlarının ayrılması arxalarındakı LAN-ları elan etmir. Marşrutlar və ya trafik seçiciləri, dönüş yolları və giriş qaydaları ayrı iş maddələridir və plan nömrələnmiş interfeysin marşrutlaşdırmanı sizin üçün etdiyini ima etmək əvəzinə bunu deməlidir.