Як разлічыць адрасную прастору для шматсайтавага VPN

Колькі павінна быць падсетка VPN, адказу няма, пакуль вы не назавяце, якія адрасы лічыце. У адным праекце гэта два канцы нумараванага тунельнага злучэння, у другім — офісная LAN за тунелем на аснове палітык, у трэцім — рэзерваваная інфраструктура кіраванага шлюза. Тры аб’екты, тры бюджэты, і большасць памылак у памерах узнікае з таго, што адзін слупок запаўняюць лікам з другога.

Чатыры ролі, чатыры розныя пытанні

Знешні транспарт — гэта адрас, да якога далучаецца партнёр, таму яго памер ідзе за вашай публічнай адрасацыяй або адрасацыяй правайдэра, але ніколі за колькасцю прылад за ім. Унутраныя тунельныя злучэнні існуюць толькі ў праектах, якія нумаруюць віртуальны інтэрфейс, і там колькасць ідзе за суседствамі тапалогіі. Абароненыя прэфіксы LAN ідуць за рэальнымі сеткамі і іх планам росту. Рэзерваваная правайдэрам інфраструктура ідзе за тым, што дакументуе кіраваная паслуга.

Толькі трэцяе з гэтага мае нейкую сувязь з тым, колькі ноўтбукаў у офісе. Менавіта гэтая блытаніна тлумачыць большасць спрэчак.

Запішыце чатыры ролі асобнымі слупкамі, перш чым адкрыць калькулятар. Кожная атрымлівае сваё размеркаванне, уладальніка і дапушчэнне росту, і ні адна не наследуе памер іншай. Калі ў праекце няма нумараванага ўнутранага злучэння, гэты слупок пусты, а не малы, і пусты слупок — гэта факт, які варта запісаць для наступнага рэцэнзента.

Лік блокаў: колькі насамрэч каштуе /30

Злучэнне пункт-пункт патрабуе два адрасы і спажывае блок, памер якога залежыць ад платформы. /30 змяшчае чатыры адрасы, два з якіх звычайна прыдатныя, таму дванаццаць злучэнняў спажываюць сорак восем адрасоў у плане, прапаноўваючы дваццаць чатыры канцавыя кропкі. /31 змяшчае два адрасы і абодва прыдатныя, што ўдвая скарачае арыфметыку, але толькі там, дзе абодва канцы гэта прымаюць.

RFC 3021 вызначае мадэль двух адрасоў, і падтрымка — гэта ўласцівасць канцавых кропак і паслугі, а не добрых намераў. API правайдэра можа навязаць сваё патрабаванне да маскі для ўнутранай опцыі тунеля, і агульны RFC не адмяняе дакументаванага абмежавання. Праверце, што заяўляе ваша платформа, перш чым падсумоўваць бюджэт, бо розніца паміж соракам васьмю і дваццаццю чатырма адрасамі вырашае, ці змесціцца план у рэзерваваны дыяпазон. Выканайце арыфметыку, а не давярайце ёй у канцы доўгага дня.

ipcalc -n 10.44.12.0/30
ipcalc -n 10.44.12.4/31

Множце толькі пасля таго, як тапалогія вызначана. Дванаццаць асобных злучэнняў і адно шматкропкавае пакрыццё з дванаццаццю ўдзельнікамі даюць вельмі розныя сумы пры адной і той жа колькасці пляцовак.

Падсетка кіраванага шлюза — не пул кліентаў

Кіраваная паслуга часта рэзервуе падсетку для ўласнай інфраструктуры шлюза, і гэтая падсетка спажываецца паслугай, а не перадаецца кліентам. Яна мае дакументаваны памер, часам дакументаваную назву і ніякай сувязі з тым, колькі карыстальнікаў падключаецца. Разгляд яе як пула адрасоў для аддаленых машын стварае праект, які вычэрпвае сябе ўжо ў першую занятую раніцу.

Чытайце патрабаванне правайдэра як фіксаваныя выдаткі, гэтак жа, як вы ставіліся б да юніта стойкі. Яно не ўваходзіць у бюджэт абароненага прэфікса.

Тое ж чытанне датычыцца назваў. Падсетка, чыя дакументаваная мэта — інфраструктура шлюза, з’яўляецца інфраструктурай па звычаі ў гэтай паслузе, і перайменаванне яе пад вашу схему ламае разгортванне, а не паляпшае дыяграму. Захоўвайце назвы і памеры правайдэра, а ўласную схему нумарацыі марнуйце на часткі, якія вы кантралюеце.

Задакументуйце план, каб ён перажыў другую пляцоўку

План, які жыве ў галаве аднаго інжынера, правальваецца на першым перасячэнні офіснага прэфікса і стандартнага дыяпазону хатняга роўтара. Апублікуйце размеркаванні з іх уладальнікамі і ўкажыце, які канец кожнага злучэння прызначае які адрас. Маршруты або селектары ўсё яшчэ трэба аб’яўляць, бо нумарацыя ўнутранага злучэння сама па сабе не публікуе LAN.

Запішыце дапушчэнне росту за кожным блокам, бо гэта менавіта тая частка, якую ніводзін наступны чытач не здолее аднавіць з адных адрасоў.

Затым праверце план на нязручных выпадках: пляцоўка, якая прыходзіць з прэфіксам, які вы ўжо выкарыстоўваеце, злучэнне, далёкі канец якога кіруе хтосьці іншы, і рэгіён, чыё патрабаванне правайдэра адрозніваецца ад першага, якое вы задакументавалі. Калі штосьці з гэтага прымушае перапрацаваць праект, то ў вас была дыяграма, а не палітыка. План, які перажывае іх, дастаткова кароткі, каб ляжаць у рэпазітары побач з канфігурацыяй тунеля, і менавіта там наступны чалавек будзе яго шукаць.