Planirajte privatne VPN adresne raspone prije nego se lokacije sudare

Dvije lokacije koje obje koriste 192.168.1.0/24 mogu svaka doći do interneta i ipak ne mogu doći jedna do druge. Pristupnik ne prijavljuje grešku; on instalira jednu rutu za taj prefiks i šalje svaki paket onom partneru koji ga je prvi zatražio. Ništa u rukovanju, listi šifri ni metrici interfejsa ne kaže koji partner nije u pravu. Planiranje adresa je dio dizajna koji to rješava prije nego se bilo ko poveže.

Popišite svaki prostor koji mora biti dostupan

Zapišite raspone koji se moraju rutirati, ne samo one koje konfigurirate. To znači lokalne mreže lokacija, klijentske bazene VPN-a, cloud podmreže, mreže za upravljanje i one izvan opsega, laboratorijske segmente i mreže s kojih se korisnici redovno povezuju od kuće. Potrošački ruter koji se isporučuje kao 192.168.1.0/24 nije hipotetički, a isti prefiks se pojavljuje u hotelima i konferencijskim salama. Popis je tabela prefiksa, vlasnika i namjene i jedini je artefakt koji sprječava da se isti raspon dodijeli dvaput.

Dodajte prefikse koje očekujete u narednoj godini, jer plan koji pokriva samo danas pada na prvoj novoj lokaciji. Označite u svakom redu ko ga može mijenjati, ne samo ko ga posjeduje.

Ponovna upotreba je ono što ovo čini teškim: privatni prostor je ograničen i svaka organizacija 10.0.0.0/8 smatra svojim. Plan ne može obećati da gostujuća mreža neće sletjeti na jedan od vaših prefiksa, pa dizajn mora reći šta se dogodi kad se to desi. Dva pravila rade većinu posla. Stavite klijentske bazene u jedan susjedni blok koji možete sažeti i nikada ne dodjeljujte raspon koji drugi tim već rutira. Sve ostalo je zapis koji neko održava ažurnim.

Zašto preklapanje pobjeđuje tablicu rutiranja

Ruta je prefiks plus sljedeći hop, a prosljeđivanje bira najduži prefiks koji se podudara. Kada dva partnera oba traže 192.168.1.0/24, tablica drži jedan zapis za njega, pa saobraćaj za obje lokacije izlazi kroz isti tunel. Druga lokacija nije pogrešno konfigurirana; ona je nedostupna jer prva odgovara za iste adrese. Nijedna metrika ih ne može razdvojiti, jer se podudaranje događa prije nego se metrike konsultuju.

Kvar je asimetričan i lako se pogrešno pročita. Hostovi na lokaciji A dosežu pristupnik i neke servise, dok hostovi lokacije B ne odgovaraju ništa, a log pokazuje zdrav tunel u oba smjera. Taj obrazac je sudar adresa, a ne greška autentifikacije ili zaštitnog zida, i potvrđivanje zahtijeva jedan ispis tablice upoređen s popisom.

Namjerno odredite veličinu klijentskog bazena i raspona lokacija

Klijentski bazen VPN-a je raspon koji pristupnik dijeli adresu po adresu, pa njegova veličina ograničava istovremenost. /24 drži 254 upotrebljive adrese, što je izdašno za mali tim i tijesno za ogranak koji pokreće kontejnere; /22 ne košta ništa dodatno unutar privatnog prostora i uklanja raspravu. Držite bazen susjednim i podalje od svake lokalne mreže lokacije, da sažeta ruta prema klijentima nikada ne proguta lokaciju. Rezervišite raspon čak i dok je bazen prazan, jer nezapisani raspon je onaj koji će dodijeliti sljedeći inženjer.

Lokacije dobijaju raspone dimenzionirane za očekivane hostove plus rast, poravnate na granici koja se čisto sažima. Namjerne praznine između dodjela ne koštaju ništa i kupuju prostor za kasnije agregiranje.

Zatim provjerite smjer koji ljudi zaboravljaju: povratni put. Svaki ruter lokacije treba rutu do klijentskog bazena, a koncentrator treba rutu do svakog prefiksa lokacije koju opslužuje. Uredna tablica prefiksa bez puta natrag do bazena i dalje je pokvaren dizajn, a simptom je jednosmjerna veza koja ništa ne odgovara. Držite oba smjera u istoj tablici i pregledajte je kad se doda lokacija.

Prevođenje i prenumerisanje rješavaju različite probleme

Kada preklapanje već postoji, postoje dvije poštene opcije i jedna nepoštena. Prenumerisanje trajno uklanja sudar i košta prozor za održavanje plus svaku hardkodiranu adresu koju ste zaboravili. Prevođenje adresa preslikava privatni raspon jedne strane u drugi raspon na ivici tunela, što ostavlja obje lokacije netaknutima ali dodaje stanje, lomi protokole koji ugrađuju adrese i čini logove težim za čitanje. Nepoštena opcija je host ruta do jednog servera, koja prolazi jedan test i pada na svemu ostalom.

Birajte po kontroli i trajanju. Lokacija koju posjedujete i možete planirati pripada putu prenumerisanja; partnerska mreža koju ne možete dirati, korištena za jednu aplikaciju, kandidat je za prevođenje s dokumentovanim mapiranjem. Zapišite to mapiranje, jer prevođenje koje postoji samo unutar konfiguracijske datoteke nestaje u trenutku kad se datoteka zamijeni.

Testirajte s udaljene strane prije uvođenja

Testirajte s mreže koja ne hostuje pristupnik, jer vlastita lokalna mreža pristupnika skriva većinu grešaka rutiranja. Povežite klijenta iza običnog kućnog rutera, zatim dođite do servisa na svakoj lokaciji i jednog unutar klijentskog bazena. Testirajte i obrnut smjer, s hosta lokacije na klijenta, jer povratni putevi padaju nezavisno. Test koji samo pinguje pristupnik dokazuje da je tunel podignut i ništa više.

Držite raspone, vlasnike i mapiranja prevođenja u jednom zajedničkom zapisu koji sljedeća lokacija čita prije nego išta dodijeli. Pregledajte ga kad se doda lokacija i tretirajte nedokumentovan raspon kao defekt, a ne kao iznenađenje.

Zapis je rezultat. Plan koji živi u sjećanju tri osobe pada prvi put kad je jedna od njih na odmoru, a preklapanje pronađeno u produkciji košta više nego što bi tablica koštala.