Jak naplánovat adresní prostor pro VPN s více lokalitami

Jak velká má být podsíť VPN, nemá odpověď, dokud nepojmenujete, které adresy počítáte. V jednom návrhu jsou to dva koncové body číslovaného tunelového spoje, v jiném síť LAN kanceláře za tunelem založeným na zásadách a ve třetím rezervovaná infrastruktura spravované brány. Tři objekty, tři rozpočty a většina chyb v dimenzování vzniká tím, že se jeden sloupec vyplní číslem z jiného.

Čtyři role, čtyři různé otázky

Vnější transport je adresa, ke které se peer připojuje, takže jeho velikost sleduje vaše veřejné adresování nebo adresování poskytovatele, nikdy počet zařízení za ním. Vnitřní tunelové spoje existují jen v návrzích, které číslují virtuální rozhraní, a tam počet sleduje sousednosti topologie. Prefixy chráněné sítě LAN sledují skutečné sítě a jejich plán růstu. Infrastruktura rezervovaná poskytovatelem sleduje to, co dokumentuje spravovaná služba.

Jen třetí z toho má nějaký vztah k počtu notebooků v kanceláři. Právě tento zmatek vysvětluje většinu sporů.

Než otevřete kalkulačku, napište čtyři role jako samostatné sloupce. Každá dostane vlastní alokaci, vlastníka a předpoklad růstu a žádná nedědí velikost jiné. Když návrh nemá číslovaný vnitřní spoj, je tento sloupec prázdný, ne malý, a prázdný sloupec je fakt, který stojí za zaznamenání pro dalšího recenzenta.

Počítání bloků: co /30 skutečně stojí

Spoj bod-bod potřebuje dvě adresy a spotřebuje blok, jehož velikost závisí na platformě. /30 drží čtyři adresy, z nichž dvě jsou obvykle použitelné, takže dvanáct spojů spotřebuje v plánu čtyřicet osm adres, zatímco nabízí dvacet čtyři koncových bodů. /31 drží dvě adresy a obě jsou použitelné, což půlí aritmetiku, ale jen tam, kde to oba konce přijmou.

RFC 3021 definuje model dvou adres a podpora je vlastnost koncových bodů a služby, nikoli dobrých úmyslů. API poskytovatele může na vnitřní tunelovou volbu uvalit vlastní požadavek na masku a obecný RFC neruší dokumentované omezení. Ověřte, co vaše platforma uvádí, než rozpočet shrnete, protože rozdíl mezi čtyřiceti osmi a dvaceti čtyřmi adresami rozhoduje o tom, zda se plán vejde do rezervovaného rozsahu. Spočítejte to, místo abyste tomu věřili na konci dlouhého dne.

ipcalc -n 10.44.12.0/30
ipcalc -n 10.44.12.4/31

Násobte až poté, co je topologie ustálená. Dvanáct samostatných spojů a jedna vícebodová překryvná síť s dvanácti účastníky dávají při stejném počtu lokalit velmi odlišné součty.

Podsíť spravované brány není klientský fond

Spravovaná služba často rezervuje podsíť pro vlastní infrastrukturu brány a tuto podsíť spotřebovává služba, místo aby ji předala klientům. Má dokumentovanou velikost, někdy dokumentované jméno a žádný vztah k tomu, kolik uživatelů se připojuje. Zacházení s ní jako s fondem adres pro vzdálené stroje vytváří návrh, který se vyčerpá už první rušné ráno.

Čtěte požadavek poskytovatele jako fixní náklad, stejně jako byste zacházeli s rackovou jednotkou. Není součástí rozpočtu chráněného prefixu.

Stejné čtení platí pro jména. Podsíť, jejímž dokumentovaným účelem je infrastruktura brány, je v této službě infrastrukturou podle konvence, a přejmenování, aby zapadla do vašeho schématu, rozbíjí nasazení, místo aby vylepšilo diagram. Ponechte jména a velikosti poskytovatele a vlastní číslovací schéma utraťte na části, které ovládáte.

Zdokumentujte plán, aby přežil druhou lokalitu

Plán, který žije v hlavě jednoho inženýra, selže při prvním překryvu mezi prefixem kanceláře a výchozím rozsahem domácího routeru. Zveřejněte alokace s jejich vlastníky a uveďte, který konec každého spoje přiděluje kterou adresu. Trasy nebo selektory se stále musí inzerovat, protože očíslování vnitřního spoje samo o sobě síť LAN nezveřejní.

Zaznamenejte předpoklad růstu za každým blokem, protože právě tuto část nemůže žádný pozdější čtenář rekonstruovat jen z adres.

Pak plán otestujte na nepříjemných případech: lokalita, která přijde s prefixem, který už používáte, spoj, jehož vzdálený konec spravuje někdo jiný, a region, jehož požadavek poskytovatele se liší od prvního, který jste zdokumentovali. Pokud některý z nich vynutí přepracování, měli jste diagram, a ne zásadu. Plán, který je přežije, je dost krátký na to, aby ležel v repozitáři vedle konfigurace tunelu, a přesně tam ho příští člověk bude hledat.