Planirajte podmreže prije VPN-a između lokacija: prenumerišite ili prevedite

Dvije kancelarije koriste 192.168.1.0/24 jer niko nije planirao drugačije, a od tunela se očekuje da to riješi. Ne može: ruter ne može učiniti da ista privatna adresa znači dva različita mjesta. Rad koji to sprječava odvija se prije nego što se upiše prvi parametar tunela.

Popišite svaki raspon, uključujući one koje ste zaboravili

Prikupljajte LAN-ove, serverske segmente, pulove klijenata za daljinski pristup, raspone cloud VPC-a i sve kontejnerske ili overlay mreže do kojih hostovi moraju doći. Pulovi klijenata su ono što ljudi zaboravljaju i iznenađujuće se često preklapaju s kancelarijskim rasponom jer su oba odabrana iz istog zadanog. Uključite upravljačku mrežu i svaki out-of-band segment.

Zabilježite vlasnika, gateway, svrhu i da li prefiks mora biti dostupan s druge lokacije. Prefiks koji nikada ne treba prijeći tunel ne mora biti jedinstven, a znanje o tome smanjuje posao prenumeracije.

IPv6 radite odvojeno, jer su njegov plan i njegova preklapanja neovisni.

Upoređujte prefikse, ne poznate adrese

Dvije mreže s različitim adresama hostova i dalje se mogu preklapati, jer je preklapanje svojstvo maski, a ne brojeva koje ljudi pamte. 10.20.0.0/16 sadrži 10.20.30.0/24 bez obzira na to izgovara li to neko naglas. Upoređujte pune parove prefiksa i provjeravajte agregate prema manjim mrežama unutar njih. Zato provjera pripada u tabelu, a ne u nečiju glavu.

Ista provjera vrijedi za vlastiti pul klijenata VPN-a i za svaki prevedeni raspon koji planirate uvesti, jer je prevedeni raspon koji se sudara gori od izvornog preklapanja.

Tabela prefiksa s maskama je dovoljna; dijagram bez maski nije.

Odlučite šta zaista mora prijeći

Lokacija može sadržavati trideset podmreža, dok jednoj servisnoj mreži treba daljinski pristup. Pođite od tog zahtjeva i oglašavajte samo ono što mu treba, jer su manji oglasi i odgovarajuća pravila pristupa lakši za pregled i teži za slučajno proširenje. Oglašavanje svakog privatnog raspona u upotrebi navika je koja tunel pretvara u most. Što je oglas uži, to je manji radijus buduće greške.

Privatni DNS mora vraćati adrese do kojih predviđeni klijenti mogu doći, pa ime koje pokazuje na neoglašeni ili preklapajući raspon ostaje pokvareno čak i kada pretraga uspije.

Napišite pristupnu listu prije konfiguracije tunela, a ne nakon što ne uspije.

Prenumerišite ili prevedite i znajte cijenu

Prenumeracija jedne mreže obično je najjasniji dugoročni lijek i dotiče rezervacije, uređaje, DNS, pravila firewall-a i sve što ima adresu ugrađenu u konfiguraciju. Prevođenje pristupnog raspona alternativa je kada je prenumeracija nepraktična, a košta identitet izvora plus klasu protokola koji ugrađuju adrese u payload. Odaberite jedno i dovršite, jer je napola prenumerisana mreža gora od bilo koje opcije.

Šta god odabrali, dokumentujte i originalnu i predstavljenu adresu, jer svaki kasniji razgovor o rješavanju problema treba obje.

Zaobilazno rješenje bez povratne putanje nije zaobilazno rješenje.

Koristite matricu ruta kao prijemni test

Završite matricom: lokalni prefiks, udaljeni prefiks, dozvoljena usluga i povratni gateway. Ta tabela je prijemni test kada se tunel podigne, a to je i dokument koji će sljedeći inženjer čitati. Testirajte s pravih hostova na odabranim podmrežama, a ne s gateway-a.

Ping između adresa tunela dokazuje da tunel postoji i ništa o planu adresa iza njega.

Držite matricu uz konfiguraciju tunela i sljedeće dodavanje lokacije počinje iz podataka, a ne iz sjećanja. Kada plan postoji, strongSwan vodič za prosljeđivanje pokriva stranu gateway-a.