Jak dimenzovat adresní prostor pro VPN mezi pobočkami

Zeptejte se, jak velká má být podsíť VPN, a poctivá odpověď je, že v otázce mohou být čtyři různé podsítě. VPN mezi lokalitami může zahrnovat transportní koncové body, číslované spoje tunelu, předpony chráněné sítě LAN a na spravovaných branách také infrastrukturní podsíť, kterou si poskytovatel vyhrazuje. V konkrétním návrhu existuje jen jedna nebo dvě z nich. Dimenzovat je podle počtu kancelářských zařízení je způsob, jak plán skončí s /24, které nikoho neuspokojí.

Než cokoli přidělíte, pojmenujte čtyři role

Transportní koncové body jsou adresy, které dvě brány používají k vzájemnému dosažení přes internet nebo pronajatý okruh, a jejich počet vychází z modelu brány a redundance, ne ze sítě LAN. Vnitřní spoje tunelu existují jen tam, kde návrh čísluje rozhraní bod-bod, což konfigurace IPsec založená na politikách obvykle nedělá. Chráněné předpony jsou skutečné kancelářské sítě nebo sítě VPC, které musí být směrovatelné, a podsíť vyhrazená poskytovatelem patří spravované službě.

Zinventarizujte, co už existuje, dřív než něco přidáte, protože drahou chybou je zde opětovné použití předpony, která se už směruje jinde. Starý tunel z pilotního projektu stačí na to, aby otrávil plán. Zapište inventář s daty, protože paměť na zrušený spoj přežije samotný spoj.

ip -br addr show
ip route show | head -40

Tyto dva příkazy dávají místní pohled na připojené sítě a na trasy, které dosáhnou všeho za nimi. Inventuru opakujte na každé lokalitě, protože plán postavený na výstupu jedné lokality se střetne s výstupem následující. Výstupy sesbírejte, než přidělíte jediný blok.

Počítejte spoje a topologii, ne zařízení

Návrh s osmi sousedstvími bod-bod spotřebuje osm bloků, ne jeden. Při /30 každý blok spotřebuje čtyři adresy na propojení dvou hostitelů, takže plán nese třicet dva adres pro šestnáct použitelných koncových bodů, a to je číslo, které musí rozpočet unést. Platforma podporující spoje /31 spotřebuje polovinu, ale jen když se oba konce a služba na tomto modelu shodnou. Rozpočet zaokrouhlete nahoru, ne dolů, protože zmenšit blok později znamená přečíslovat živé spoje.

Omezení poskytovatele převažují nad obecnou praxí. Dokumentovaný vnitřní rozsah tunelu může vyžadovat /30 i tam, kde /31 na vašich routerech funguje, a spravovaná brána může pro svou vlastní podsíť žádat konkrétní masku. Přečtěte si požadavek služby, než použijete pravidlo vypůjčené z jiné platformy.

Vícebodové překrytí znovu mění aritmetiku: jedna adresa na bránu, přičemž překrytí se stará o dosažitelnost mezi nimi. Rozhodněte, kterou topologii implementace skutečně používá, než vynásobíte lokality velikostí bloku.

Růst si zaslouží vlastní řádek v plánu. Vyhradit souvislý infrastrukturní rozsah je rozumné, stejně jako zaznamenat, které menší přidělení v něm leží, aby si další inženýr nečetl rezervaci jako jednu broadcastovou doménu.

Držte podsíť brány mimo fond sítě LAN

Infrastruktura spravované brány není fond klientů. Adresy ve vyhrazené podsíti brány hostují vlastní komponenty služby a vzdálení pracovníci z nich nikdy nečerpají. Dimenzovat tuto podsíť podle počtu uživatelů je kategoriální chyba, která buď plýtvá velkým rozsahem, nebo vyhladoví bránu.

Totéž platí pro rozsahy tunelů u cloudových VPN připojení, kde poskytovatel přiděluje malý vnitřní rozsah na tunel pro vlastní potřebu. Tento rozsah není místem, kde žijí vaše pobočkové servery, a není vaše ho rozdávat.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Výpis vnějších adres potvrzuje, co poskytovatel přidělil a který záložní tunel je právě aktivní. Je to rychlejší než číst návrhový dokument napsaný předtím, než spojení vzniklo.

Zaznamenejte roli, vlastníka a růst pro každou předponu

Plán, který přežije kontakt s provozem, uvádí u každé předpony, jakou roli hraje, kdo přiděluje vzdálený konec a kolik má rezervy. Bez pole vlastníka přidělí dva týmy stejné /24 ve stejném čtvrtletí a kolize se ukáže až při zvednutí tunelu.

Držte tyto rozsahy stranou od domácích a pobočkových předpon, které přicházejí jinými tunely, protože překrývající se prostor je obvyklý důvod, proč spojení mezi lokalitami úspěšně vyjedná a pak nepropustí žádný provoz.

Přidělení vnitřních adres spoje neoznamuje sítě LAN za nimi. Trasy nebo selektory provozu, zpětné cesty a přístupová pravidla jsou samostatné pracovní položky a plán by to měl říct, místo aby naznačoval, že číslované rozhraní za vás udělá směrování.