Kako dimenzionirati adresni prostor za VPN između lokacija

Pitajte koliko velika treba biti podmreža VPN-a i iskren odgovor je da se u pitanju mogu kriti četiri različite podmreže. VPN između lokacija može uključivati transportne krajnje točke, numerirane tunelske veze, prefikse zaštićene mreže LAN i, na upravljanim pristupnicima, infrastrukturnu podmrežu koju pružatelj rezervira. U određenom nacrtu postoje samo jedna ili dvije od njih. Dimenzioniranje prema broju uredskih uređaja način je na koji plan završi s /24 koji nikoga ne zadovoljava.

Imenujte četiri uloge prije nego što išta dodijelite

Transportne krajnje točke su adrese koje dva pristupnika koriste za međusobno dosezanje preko interneta ili privatnog voda, a njihov broj proizlazi iz modela pristupnika i redundancije, ne iz mreže LAN. Unutarnje tunelske veze postoje samo ondje gdje nacrt numerira sučelje točka-na-točku, što konfiguracija IPsec-a temeljena na pravilima obično ne čini. Zaštićeni prefiksi prave su uredske mreže ili mreže VPC koje moraju biti usmjerive, a podmreža koju pružatelj rezervira pripada upravljanoj usluzi.

Popišite što već postoji prije nego što išta dodate, jer je skupa pogreška ovdje ponovna uporaba prefiksa koji se već usmjerava negdje drugdje. Star tunel iz pilot-projekta dovoljan je da zatruje plan. Zapišite popis s datumima, jer sjećanje na ukinutu vezu nadživi samu vezu.

ip -br addr show
ip route show | head -40

Te dvije naredbe daju lokalni pogled na povezane mreže i na rute koje dosežu sve iza njih. Ponovite popis na svakoj lokaciji, jer će se plan izgrađen na izlazu jedne lokacije sudariti s izlazom sljedeće. Prikupite izlaze prije nego što dodijelite ijedan blok.

Brojite veze i topologiju, a ne uređaje

Nacrt s osam susjedstava točka-na-točku troši osam blokova, a ne jedan. Na /30 svaki blok troši četiri adrese za povezivanje dva hosta, pa plan nosi trideset i dvije adrese za šesnaest upotrebljivih krajnjih točaka, i to je brojka koju proračun mora podnijeti. Platforma koja podržava veze /31 troši polovicu, ali samo kad se oba kraja i usluga slažu o tom modelu. Zaokružite proračun prema gore, a ne prema dolje, jer smanjiti blok kasnije znači prenumerirati žive veze.

Ograničenja pružatelja nadjačavaju opću praksu. Dokumentirano unutarnje tunelsko područje može zahtijevati /30 čak i ondje gdje /31 radi na vašim usmjerivačima, a upravljani pristupnik može zahtijevati određenu masku za vlastitu podmrežu. Pročitajte zahtjev usluge prije nego što primijenite pravilo posuđeno s druge platforme.

Višetočkovni preklopni sloj ponovno mijenja aritmetiku: jedna adresa po pristupniku, pri čemu preklopni sloj preuzima dosegljivost među njima. Odlučite koju topologiju implementacija doista koristi prije nego što pomnožite lokacije veličinom bloka.

Rast zaslužuje vlastiti redak u planu. Rezervirati zaokruženo infrastrukturno područje razumno je, kao i zabilježiti koje manje dodjele u njemu leže, da sljedeći inženjer ne pročita rezervaciju kao jednu emitivnu domenu.

Držite podmrežu pristupnika izvan skupa mreže LAN

Infrastruktura upravljanog pristupnika nije skup klijenata. Adrese u rezerviranoj podmreži pristupnika ugošćuju vlastite komponente usluge i udaljeni radnici iz njih nikada ne crpe. Dimenzionirati tu podmrežu prema broju korisnika kategorička je pogreška koja ili rasipa veliko područje ili izgladnjuje pristupnik.

Isto vrijedi za tunelska područja na cloud VPN vezama, gdje pružatelj dodjeljuje malo unutarnje područje po tunelu za vlastitu upotrebu. To područje nije mjesto gdje žive vaši poslovni poslužitelji i nije vaše za dijeljenje.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Ispis vanjskih adresa potvrđuje što je pružatelj dodijelio i koji je rezervni tunel trenutačno aktivan. Brže je od čitanja nacrtnog dokumenta napisanog prije nego što je veza postojala.

Zabilježite ulogu, vlasnika i rast za svaki prefiks

Plan koji preživi dodir s pogonom navodi za svaki prefiks koju ulogu ima, tko dodjeljuje udaljeni kraj i koliko rezerve ima. Bez polja vlasnika dva tima dodjeljuju isti /24 u istom tromjesečju, a sukob se pokaže tek kad se tunel podigne.

Držite ta područja podalje od kućnih i podružničnih prefiksa koji pristižu drugim tunelima, jer je preklapanje prostora uobičajen razlog zašto veza između lokacija uspješno pregovara i potom ne propušta nikakav promet.

Dodjela unutarnjih adresa veze ne oglašava mreže LAN iza njih. Rute ili izbornici prometa, povratne staze i pravila pristupa zasebne su radne stavke i plan bi to trebao reći umjesto da implicira da numerirano sučelje obavlja usmjeravanje za vas.