Как да оразмерим адресното пространство за VPN между обекти

Попитайте колко голяма трябва да бъде подмрежата на VPN и честният отговор е, че във въпроса може да се крият четири различни подмрежи. VPN на обект може да включва транспортни крайни точки, номерирани тунелни връзки, префиксите на защитената локална мрежа и, при управлявани шлюзове, инфраструктурна подмрежа, която доставчикът запазва. В конкретен проект съществуват само една или две от тях. Оразмеряването им по броя на офис устройствата е начинът един план да завърши с /24, което не удовлетворява никого.

Назовете четирите роли, преди да разпределите каквото и да е

Транспортните крайни точки са адресите, които два шлюза използват, за да се достигнат през интернет или частна линия, а броят им идва от модела на шлюза и резервирането, не от локалната мрежа. Вътрешните тунелни връзки съществуват само там, където проектът номерира интерфейс точка-до-точка, което конфигурация на IPsec, базирана на правила, обикновено не прави. Защитените префикси са реалните офис мрежи или мрежи на VPC, които трябва да са маршрутизируеми, а запазената от доставчика подмрежа принадлежи на управляваната услуга.

Направете опис на това, което вече съществува, преди да добавите нещо, защото скъпата грешка тук е повторно използване на префикс, който вече се маршрутизира другаде. Стар тунел от пилотен проект е достатъчен, за да развали план. Запишете описа с дати, защото паметта за изведена от експлоатация връзка живее по-дълго от самата връзка.

ip -br addr show
ip route show | head -40

Тези две команди дават местен изглед на свързаните мрежи и на маршрутите, които достигат всичко отвъд тях. Повторете описа на всеки обект, защото план, построен по изхода на един обект, ще се сблъска с изхода на следващия. Съберете изходите, преди да разпределите дори един блок.

Бройте връзки и топология, не устройства

Проект с осем съседства точка-до-точка изразходва осем блока, не един. При /30 всеки блок изразходва четири адреса, за да свърже два хоста, затова планът носи тридесет и два адреса за шестнадесет използваеми крайни точки, и това е числото, което бюджетът трябва да издържи. Платформа, която поддържа връзки /31, изразходва половината, но само когато двата края и услугата са съгласни с този модел. Закръглявайте бюджета нагоре, а не надолу, защото намаляването на блок по-късно означава преномериране на работещи връзки.

Ограниченията на доставчика надделяват над общата практика. Документиран вътрешен диапазон на тунел може да изисква /30 дори там, където /31 работи на вашите маршрутизатори, а управляван шлюз може да изисква конкретна маска за собствената си подмрежа. Прочетете изискването на услугата, преди да приложите правило, заимствано от друга платформа.

Многоточковото припокриване отново променя аритметиката: един адрес на шлюз, а достижимостта между тях се поема от припокриването. Решете коя топология реализацията действително използва, преди да умножите обектите по размер на блок.

Растежът заслужава свой ред в плана. Запазването на свързан инфраструктурен диапазон е разумно, както и записването кои по-малки разпределения лежат в него, за да не прочете следващият инженер резервацията като един домейн за излъчване.

Дръжте подмрежата на шлюза извън пула на локалната мрежа

Инфраструктурата на управляван шлюз не е пул от клиенти. Адресите в запазена подмрежа на шлюза приютяват собствените компоненти на услугата и отдалечените служители никога не черпят от тях. Оразмеряването на тази подмрежа по броя на потребителите е категорийна грешка, която или прахосва голям диапазон, или оставя шлюза без адреси.

Същото важи за диапазоните на тунелите при облачните VPN връзки, където доставчикът разпределя малък вътрешен диапазон за всеки тунел за собствена употреба. Този диапазон не е мястото, където живеят сървърите на клона ви, и не е ваш, за да го раздавате.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Изброяването на външните адреси потвърждава какво е разпределил доставчикът и кой резервен тунел е активен в момента. По-бързо е от четене на проектен документ, писан преди връзката да съществува.

Записвайте роля, собственик и растеж за всеки префикс

План, който оцелява при сблъсък с експлоатацията, посочва за всеки префикс каква роля играе, кой разпределя далечния край и колко резерв има. Без полето за собственик два екипа разпределят една и съща /24 в едно и също тримесечие и сблъсъкът се проявява само когато тунелът се вдигне.

Дръжте тези диапазони далеч от домашните и клоновите префикси, идващи през други тунели, защото припокриващото се пространство е обичайната причина връзка между обекти да преговаря успешно и след това да не пропуска трафик.

Разпределянето на вътрешни адреси на връзката не анонсира локалните мрежи зад тях. Маршрутите или селекторите на трафик, обратните пътища и правилата за достъп са отделни работни елементи и планът трябва да го казва, вместо да внушава, че номериран интерфейс ще свърши маршрутизацията вместо вас.