Плануйце падсеткі перад VPN паміж пляцоўкамі: перанумараваць або перакласці

Два офісы абодва выкарыстоўваюць 192.168.1.0/24, таму што ніхто не спланаваў інакш, а ад тунеля чакаюць, што ён гэта ўладзіць. Ён не можа: маршрутызатар не можа зрабіць так, каб адзін і той жа прыватны адрас азначаў два розныя месцы. Праца, якая прадухіляе гэта, выконваецца да таго, як уведзены першы параметр тунеля.

Інвентарызуйце кожны дыяпазон, уключна з тымі, што вы забылі

Сабярыце LAN, сегменты сервераў, пулы кліентаў аддаленага доступу, дыяпазоны воблачных VPC і любыя кантэйнерныя або overlay-сеткі, да якіх павінны дабрацца хасты. Пулы кліентаў — гэта тое, што людзі забываюць, і яны дзіўна часта перасякаюцца з офісным дыяпазонам, бо абодва былі выбраны з аднолькавага значэння па змаўчанні. Уключыце сетку кіравання і любы пазапалосны сегмент.

Запішыце ўладальніка, шлюз, прызначэнне і тое, ці павінен прэфікс быць дасяжным з іншай пляцоўкі. Прэфікс, якому ніколі не трэба перасякаць тунель, не абавязаны быць унікальным, і веданне гэтага паменшвае працу па перанумарацыі.

Рабіце IPv6 асобна, бо яго план і яго перасячэнні незалежныя.

Параўноўвайце прэфіксы, а не знаёмыя адрасы

Дзве сеткі з рознымі адрасамі хастоў могуць усё роўна перасякацца, бо перасячэнне — уласцівасць масак, а не лікаў, якія людзі памятаюць. 10.20.0.0/16 змяшчае 10.20.30.0/24, незалежна ад таго, ці хтосьці скажа гэта ўголас. Параўноўвайце поўныя пары прэфіксаў і правярайце агрэгаты супраць драбнейшых сетак унутры іх. Таму гэтая праверка належыць у табліцу, а не ў чыюсьці галаву.

Тая ж праверка датычыцца ўласнага пула кліентаў VPN і любога перакладзенага дыяпазону, які вы плануеце ўвесці, бо перакладзены дыяпазон, які сутыкаецца, горш за зыходнае перасячэнне.

Табліцы прэфіксаў з маскамі дастаткова; дыяграма без масак — не.

Вырашыце, што насамрэч павінна перасячы

Пляцоўка можа змяшчаць трыццаць падсетак, але толькі адной службовай сетцы патрэбны аддалены доступ. Пачніце з гэтай патрабаванні і абвяшчайце толькі тое, што ёй патрэбна, бо меншыя аб'явы і адпаведныя правілы доступу лягчэй правяраць і цяжэй выпадкова пашырыць. Абвяшчэнне кожнага прыватнага дыяпазону ў выкарыстанні — гэта звычка, якая ператварае тунель у мост. Чым вужэйшая аб'ява, тым меншы радыус уражавання будучай памылкі.

Прыватны DNS павінен вяртаць адрасы, дасяжныя для меркаваных кліентаў, таму імя, якое паказвае на неабвешчаны або перасечаны дыяпазон, застаецца зламаным, нават калі запыт паспяховы.

Напішыце спіс доступу да канфігурацыі тунеля, а не пасля таго, як яна не спрацуе.

Перанумаруйце або перакладзіце і ведайце кошт

Перанумарацыя адной сеткі звычайна з'яўляецца самым ясным доўгатэрміновым рашэннем, і яна датычыцца рэзерваванняў, прылад, DNS, правілаў файрвола і ўсяго, што мае адрас, зашыты ў канфігурацыю. Пераклад дыяпазону доступу — гэта альтэрнатыва, калі перанумарацыя непрактычная, і ён каштуе зыходнай ідэнтычнасці плюс клас пратаколаў, якія ўбудоўваюць адрасы ў карысную нагрузку. Выберыце адно і скончыце, бо паўперанумараваная сетка горш за любы з варыянтаў.

Што б вы ні выбралі, дакументуйце і зыходны, і пададзены адрас, бо кожная наступная размова пра дыягностыку патрабуе іх.

Абысціся без шляху вяртання — гэта не абысціся.

Выкарыстоўвайце матрыцу маршрутаў як прыёмачны тэст

Скончыце матрыцай: лакальны прэфікс, аддалены прэфікс, дазволеная служба і шлюз вяртання. Гэтая табліца — прыёмачны тэст, калі тунель падымаецца, і гэта таксама дакумент, які будзе чытаць наступны інжынер. Тэстуйце з рэальных хастоў у выбраных падсетках, а не са шлюзаў.

Ping паміж адрасамі тунеля даказвае, што тунель існуе, і нічога пра план адрасоў за ім.

Трымайце матрыцу разам з канфігурацыяй тунеля, і наступнае даданне пляцоўкі пачнецца з даных, а не з памяці. Калі план існуе, кіраўніцтва strongSwan па перасылцы ахоплівае бок шлюза.