Плануйце прыватныя дыяпазоны адрасоў VPN да сутыкнення сайтаў

Два сайты, якія абодва выкарыстоўваюць 192.168.1.0/24, могуць дасягаць інтэрнэту і ўсё ж не дасягаць адзін аднаго. Шлюз не выдае памылку; ён усталёўвае адзін маршрут для гэтага прэфікса і накіроўвае кожны пакет таму партнёру, які заявіў яго першым. Нічога ў рукапацісканні, спісе шыфраў ці метрыцы інтэрфейса не паказвае, які партнёр памыляецца. Планаванне адрасоў — гэта тая частка дызайну, якая вырашае гэта да таго, як хтосьці падключыцца.

Пералічыце ўсю прастору, якая павінна быць дасяжнай

Запішыце дыяпазоны, якія трэба маршрутызаваць, а не толькі тыя, якія вы настройваеце. Гэта лакальныя сеткі сайтаў, пулы кліентаў VPN, падсеткі воблака, сеткі кіравання і пазапаласныя сеткі, лабараторныя сегменты і сеткі, з якіх карыстальнікі звычайна падключаюцца дома. Спажывецкі маршрутызатар, які пастаўляецца як 192.168.1.0/24, не гіпатэтычны, і той жа прэфікс сустракаецца ў гатэлях і канферэнц-месцах. Інвентар — гэта табліца прэфікса, уладальніка і прызначэння, і гэта адзіны артэфакт, які не дае выдаць адзін і той жа дыяпазон двойчы.

Дадайце прэфіксы, якія чакаеце на працягу наступнага года, бо план, які ахоплівае толькі сёння, правальваецца на першым новым сайце. Пазначце ў кожным радку, хто можа яго змяніць, а не толькі хто ім валодае.

Менавіта паўторнае выкарыстанне робіць гэта складаным: прыватная прастора абмежаваная, і кожная арганізацыя лічыць 10.0.0.0/8 сваёй. План не можа абяцаць, што будучая гасцявая сетка не трапіць на адзін з вашых прэфіксаў, таму дызайн павінен казаць, што адбудзецца, калі гэта здарыцца. Два правілы выконваюць большую частку працы. Змесціце пулы кліентаў у адзін суцэльны блок, які можна абагуліць, і ніколі не выдзяляйце дыяпазон, які іншая каманда ўжо маршрутызуе. Усё астатняе — гэта запіс, які хтосьці трымае актуальным.

Чаму перакрыццё перамагае табліцу маршрутызацыі

Маршрут — гэта прэфікс плюс наступны хоп, і перасылка выбірае найдаўжэйшы адпаведны прэфікс. Калі два партнёры абодва заяўляюць 192.168.1.0/24, у табліцы ёсць адзін запіс для яго, таму трафік абодвух сайтаў выходзіць праз адзін і той жа тунель. Другі сайт не наладжаны няправільна; ён недасяжны, бо першы адказвае за тыя ж адрасы. Ніякая метрыка не можа іх раздзяліць, бо супастаўленне адбываецца раней, чым звяртаюцца да метрык.

Збой асіметрычны і яго лёгка прачытаць няправільна. Хасты сайта A дасягаюць шлюза і некаторых сэрвісаў, а хасты сайта B не адказваюць нічога, і журнал паказвае здаровы тунель у абодвух напрамках. Гэтая карціна — сутыкненне адрасоў, а не збой аўтэнтыфікацыі ці міжсеткавага экрана, і каб гэта пацвердзіць, патрэбна адна выгрузка табліцы, параўнаная з інвентаром.

Свядома вызначце памер пула кліентаў і дыяпазонаў сайтаў

Пул кліентаў VPN — гэта дыяпазон, які шлюз выдае па аднаму адрасу, таму яго памер абмяжоўвае адначасовасць. /24 змяшчае 254 прыдатных адрасы, што шчодра для невялікай каманды і цесна для філіяла, які запускае кантэйнеры; /22 нічога не каштуе дадаткова ўнутры прыватнай прасторы і здымае спрэчку. Трымайце пул суцэльным і збоку ад кожнай лакальнай сеткі сайта, каб зводны маршрут да кліентаў ніколі не праглынуў сайт. Зарэзервуйце дыяпазон нават тады, калі пул пусты, бо незапісаны дыяпазон — гэта той, які выдзеліць наступны інжынер.

Сайты атрымліваюць дыяпазоны памерам пад чаканыя хасты плюс рост, выраўнаваныя па мяжы, што чыста абагульваецца. Свядомыя прамежкі паміж выдзяленнямі нічога не каштуюць і даюць месца для агрэгацыі пазней.

Затым праверце напрамак, які людзі забываюць: зваротны шлях. Кожнаму маршрутызатару сайта патрэбны маршрут да пула кліентаў, а канцэнтратару — маршрут да кожнага прэфікса сайта, які ён абслугоўвае. Акуратная табліца прэфіксаў без шляху назад да пула — усё яшчэ зламаны дызайн, і сімптом — аднабаковыя злучэнне, якое ні на што не адказвае. Трымайце абодва напрамкі ў адной табліцы і пераглядайце яе кожны раз, калі дадаецца сайт.

Трансляцыя і перанумарацыя вырашаюць розныя праблемы

Калі перакрыццё ўжо існуе, ёсць два сумленныя варыянты і адзін нясумленны. Перанумарацыя назаўсёды прыбірае сутыкненне і каштуе акно абслугоўвання плюс кожны жорстка зашыты адрас, які вы забылі. Трансляцыя адрасоў адлюстроўвае прыватны дыяпазон аднаго боку ў іншы дыяпазон на краі тунеля, што пакідае абодва сайты некранутымі, але дадае стан, ламае пратаколы, якія ўбудоўваюць адрасы, і робіць журналы цяжэйшымі для чытання. Нясумленны варыянт — маршрут хаста да аднаго сервера, які праходзіць адзін тэст і правальваецца ва ўсім астатнім.

Выбірайце па кантролі і тэрміне жыцця. Сайт, якім вы валодаеце і які можаце запланаваць, належыць на шлях перанумарацыі; сетка партнёра, да якой вы не можаце дакрануцца, выкарыстоўваная для адной праграмы, — кандыдат на трансляцыю з дакументаваным супастаўленнем. Запішыце гэта супастаўленне, бо трансляцыя, якая існуе толькі ўнутры канфігурацыйнага файла, знікае ў момант замены файла.

Праверце з далёкага боку перад разгортваннем

Праверце з сеткі, якая не хостыць шлюз, бо ўласная лакальная сетка шлюза хавае большасць памылак маршрутызацыі. Падключыце кліента за звычайным хатнім маршрутызатарам, затым дасягніце сэрвісу на кожным сайце і аднаго ўнутры пула кліентаў. Праверце і зваротны напрамак, ад хаста сайта да кліента, бо зваротныя шляхі адмаўляюць незалежна. Тэст, які толькі пінгуе шлюз, даказвае, што тунель узняты, і нічога больш.

Трымайце дыяпазоны, уладальнікаў і супастаўленні трансляцыі ў адным агульным запісе, які наступны сайт чытае перад тым, як нешта выдзеліць. Пераглядайце яго, калі дадаецца сайт, і лічыце незадакументаваны дыяпазон дэфектам, а не нечаканасцю.

Запіс — гэта і ёсць вынік. План, які жыве ў памяці трох чалавек, правальваецца ў першы ж раз, калі адзін з іх у адпачынку, а перакрыццё, знойдзенае ў прадукцыі, каштуе больш, чым каштавала б табліца.