Subnetze vor einem Standort-VPN planen: neu nummerieren oder übersetzen

Zwei Büros verwenden beide 192.168.1.0/24, weil niemand etwas anderes geplant hat, und der Tunnel soll es richten. Das kann er nicht: Ein Router kann nicht dafür sorgen, dass dieselbe private Adresse zwei verschiedene Orte bedeutet. Die Arbeit, die das verhindert, geschieht, bevor der erste Tunnelparameter eingetippt wird.

Erfassen Sie jeden Bereich, auch die vergessenen

Sammeln Sie die LANs, Serversegmente, Client-Pools für den Fernzugriff, Cloud-VPC-Bereiche und alle Container- oder Overlay-Netze, die Hosts erreichen müssen. Client-Pools sind die, die man vergisst, und sie überschneiden sich überraschend oft mit einem Bürobereich, weil beide aus derselben Voreinstellung gewählt wurden. Beziehen Sie das Management-Netz und jedes Out-of-Band-Segment ein.

Halten Sie Eigentümer, Gateway, Zweck und die Frage fest, ob das Präfix vom anderen Standort erreichbar sein muss. Ein Präfix, das nie durch den Tunnel muss, muss nicht eindeutig sein, und dieses Wissen verringert die Umnummerierungsarbeit.

Behandeln Sie IPv6 getrennt, weil seine Planung und seine Überschneidungen unabhängig sind.

Vergleichen Sie Präfixe, nicht vertraute Adressen

Zwei Netze mit unterschiedlichen Hostadressen können sich trotzdem überschneiden, denn Überschneidung ist eine Eigenschaft der Masken und nicht der Zahlen, die man sich merkt. 10.20.0.0/16 enthält 10.20.30.0/24, ob jemand es laut sagt oder nicht. Vergleichen Sie vollständige Präfixpaare und prüfen Sie Aggregate gegen die kleineren Netze darin. Deshalb gehört die Prüfung in eine Tabelle und nicht in jemandes Kopf.

Dieselbe Prüfung gilt für den eigenen Client-Pool des VPN und für jeden übersetzten Bereich, den Sie einführen wollen, denn ein übersetzter Bereich, der kollidiert, ist schlimmer als die ursprüngliche Überschneidung.

Eine Tabelle mit Präfixen und Masken genügt; ein Diagramm ohne Masken nicht.

Entscheiden Sie, was tatsächlich übertragen werden muss

Ein Standort kann dreißig Subnetze enthalten, während ein Dienstnetz Fernzugriff braucht. Gehen Sie von dieser Anforderung aus und kündigen Sie nur an, was sie braucht, denn kleinere Ankündigungen und passende Zugriffsregeln sind leichter zu prüfen und schwerer versehentlich zu erweitern. Jeden genutzten privaten Bereich anzukündigen ist eine Gewohnheit, die einen Tunnel in eine Brücke verwandelt. Je enger die Ankündigung, desto kleiner der Radius eines künftigen Fehlers.

Privates DNS muss Adressen zurückgeben, die die vorgesehenen Clients erreichen können, daher bleibt ein Name, der auf einen nicht angekündigten oder überschneidenden Bereich zeigt, auch dann kaputt, wenn die Abfrage gelingt.

Schreiben Sie die Zugriffsliste vor der Tunnelkonfiguration, nicht nachdem sie fehlgeschlagen ist.

Neu nummerieren oder übersetzen, und die Kosten kennen

Die Umnummerierung eines Netzes ist meist die klarste langfristige Lösung, und sie berührt Reservierungen, Geräte, DNS, Firewallregeln und alles, in dessen Konfiguration eine Adresse eingebrannt ist. Die Übersetzung eines Zugriffsbereichs ist die Alternative, wenn Umnummerierung unpraktisch ist, und sie kostet die Quellidentität plus eine Klasse von Protokollen, die Adressen in Payloads einbetten. Wählen Sie eines und bringen Sie es zu Ende, denn ein halb umnummeriertes Netz ist schlimmer als beide Optionen.

Was auch immer Sie wählen, dokumentieren Sie sowohl die ursprüngliche als auch die dargestellte Adresse, denn jede spätere Fehlersuche braucht beide.

Ein Workaround ohne Rückweg ist kein Workaround.

Nutzen Sie eine Routenmatrix als Abnahmetest

Schließen Sie mit einer Matrix ab: lokales Präfix, entferntes Präfix, erlaubter Dienst und Rückweg-Gateway. Diese Tabelle ist der Abnahmetest beim Tunnelaufbau, und sie ist auch das Dokument, das der nächste Ingenieur lesen wird. Testen Sie von echten Hosts in den ausgewählten Subnetzen statt von den Gateways.

Ein Ping zwischen Tunneladressen beweist, dass der Tunnel existiert, und nichts über den Adressplan dahinter.

Bewahren Sie die Matrix zusammen mit der Tunnelkonfiguration auf, und die nächste Standorterweiterung beginnt mit Daten statt mit Erinnerung. Der strongSwan-Leitfaden zur Weiterleitung deckt die Gateway-Seite ab, sobald der Plan steht.