Как да планирате адресното пространство за VPN между няколко обекта

Колко голяма трябва да бъде VPN подмрежата няма отговор, докато не назовете кои адреси броите. В един проект това са двата края на номерирана тунелна връзка, в друг — офис LAN мрежата зад тунел, базиран на правила, а в трети — резервираната инфраструктура на управляван шлюз. Три обекта, три бюджета и повечето грешки в оразмеряването идват от това една колона да се запълни с числото на друга.

Четири роли, четири различни въпроса

Външният транспорт е адресът, към който се свързва партньорът, затова размерът му следва публичната ви адресация или тази на доставчика, никога броя устройства зад него. Вътрешните тунелни връзки съществуват само в проекти, които номерират виртуален интерфейс, и там броят следва съседствата на топологията. Защитените LAN префикси следват реалните мрежи и плана им за растеж. Резервираната от доставчика инфраструктура следва това, което управляваната услуга документира.

Само третото от тях има някаква връзка с броя лаптопи в офиса. Точно това объркване обяснява повечето спорове.

Запишете четирите роли като отделни колони, преди да отворите калкулатор. Всяка получава свое разпределение, собственик и допускане за растеж и никоя не наследява размера на друга. Когато проектът няма номерирана вътрешна връзка, тази колона е празна, а не малка, и празната колона е факт, който си струва да се запише за следващия рецензент.

Броене на блокове: колко наистина струва /30

Връзка точка-точка изисква два адреса и изразходва блок, чийто размер зависи от платформата. /30 съдържа четири адреса, два от които обикновено са използваеми, така че дванадесет връзки изразходват четиридесет и осем адреса в плана, докато предлагат двадесет и четири крайни точки. /31 съдържа два адреса и двата са използваеми, което намалява сметката наполовина, но само там, където двата края го приемат.

RFC 3021 определя модела с два адреса и поддръжката е свойство на крайните точки и на услугата, а не на добрите намерения. API на доставчик може да наложи свое изискване за маска върху вътрешна тунелна опция и общ RFC не отменя документирано ограничение. Проверете какво казва платформата ви, преди да обобщите бюджета, защото разликата между четиридесет и осем и двадесет и четири адреса решава дали планът се побира в резервирания диапазон. Изчислете го, вместо да му се доверявате в края на дълъг ден.

ipcalc -n 10.44.12.0/30
ipcalc -n 10.44.12.4/31

Умножавайте само след като топологията е уточнена. Дванадесет отделни връзки и един многоточков овърлей с дванадесет участници дават много различни сборове при еднакъв брой обекти.

Подмрежата на управлявания шлюз не е пул за клиенти

Управляваната услуга често резервира подмрежа за собствената си инфраструктура на шлюза и тази подмрежа се изразходва от услугата, а не се дава на клиенти. Тя има документиран размер, понякога документирано име и никаква връзка с броя свързващи се потребители. Третирането й като пул от адреси за отдалечени машини създава проект, който се изчерпва още в първата натоварена сутрин.

Четете изискването на доставчика като фиксиран разход, както бихте третирали единица стелаж. То не е част от бюджета на защитения префикс.

Същото четене важи за имената. Подмрежа, чиято документирана цел е инфраструктура на шлюз, е инфраструктура по конвенция в тази услуга и преименуването й, за да пасне на вашата схема, чупи внедряването, вместо да подобри диаграмата. Пазете имената и размерите на доставчика и изразходвайте собствената си схема за номериране върху частите, които контролирате.

Документирайте плана, за да оцелее вторият обект

План, който живее в главата на един инженер, се проваля при първото застъпване между офис префикс и стандартния диапазон на домашен рутер. Публикувайте разпределенията с техните собственици и посочете кой край на всяка връзка задава кой адрес. Маршрутите или селекторите все още трябва да се обявяват, защото номерирането на вътрешна връзка само по себе си не публикува LAN мрежа.

Запишете допускането за растеж зад всеки блок, защото точно тази част никой следващ читател не може да възстанови само от адресите.

После проверете плана срещу неудобните случаи: обект, който пристига с префикс, който вече използвате, връзка, чийто далечен край управлява някой друг, и регион, чието изискване на доставчика се различава от първото, което сте документирали. Ако нещо от това наложи преработка, това, което сте имали, е било диаграма, а не политика. Планът, който ги издържа, е достатъчно кратък, за да стои в хранилището до конфигурацията на тунела и точно там следващият човек ще го търси.