Adressraum für ein Standort-zu-Standort-VPN richtig dimensionieren

Wer fragt, wie groß das VPN-Subnetz sein soll, bekommt als ehrliche Antwort, dass in der Frage vier verschiedene Subnetze stecken können. Ein Standort-VPN kann Transportendpunkte, nummerierte Tunnelstrecken, die geschützten LAN-Präfixe und bei verwalteten Gateways ein vom Anbieter reserviertes Infrastruktur-Subnetz umfassen. In einem konkreten Entwurf existieren davon nur ein oder zwei. Sie aus der Zahl der Bürogeräte zu bemessen, führt zu einem Plan mit einem /24, das niemanden zufriedenstellt.

Benennen Sie zuerst die vier Rollen, bevor Sie irgendetwas zuteilen

Transportendpunkte sind die Adressen, mit denen zwei Gateways sich über das Internet oder eine private Leitung erreichen, und ihre Anzahl ergibt sich aus dem Gateway- und Redundanzmodell, nicht aus dem LAN. Innere Tunnelstrecken existieren nur dort, wo der Entwurf eine Punkt-zu-Punkt-Schnittstelle nummeriert, was eine richtlinienbasierte IPsec-Konfiguration in der Regel nicht tut. Geschützte Präfixe sind die echten Büro- oder VPC-Netze, die geroutet werden müssen, und das vom Anbieter reservierte Subnetz gehört zum verwalteten Dienst.

Erfassen Sie zuerst, was bereits existiert, bevor Sie etwas hinzufügen, denn der teure Fehler ist hier die Wiederverwendung eines Präfixes, das schon anderswo geroutet wird. Ein alter Tunnel aus einem Pilotprojekt genügt, um einen Plan zu verderben. Halten Sie die Bestandsaufnahme mit Datum fest, denn die Erinnerung an eine stillgelegte Strecke überlebt die Strecke selbst.

ip -br addr show
ip route show | head -40

Diese beiden Befehle liefern die lokale Sicht auf verbundene Netze und auf die Routen, die alles dahinter erreichen. Wiederholen Sie die Bestandsaufnahme an jedem Standort, denn ein Plan, der aus der Ausgabe eines Standorts gebaut wurde, kollidiert mit der des nächsten. Sammeln Sie die Ausgaben, bevor Sie einen einzigen Block zuteilen.

Zählen Sie Strecken und Topologie, nicht Geräte

Ein Entwurf mit acht Punkt-zu-Punkt-Nachbarn verbraucht acht Blöcke, nicht einen. Bei /30 kostet jeder Block vier Adressen, um zwei Hosts zu verbinden, sodass der Plan zweiunddreißig Adressen für sechzehn nutzbare Endpunkte trägt, und diese Zahl muss das Budget abdecken. Eine Plattform, die /31-Strecken unterstützt, verbraucht die Hälfte, aber nur wenn beide Seiten und der Dienst diesem Modell zustimmen. Runden Sie das Budget lieber auf als ab, denn einen Block später zu verkleinern bedeutet, laufende Strecken neu zu nummerieren.

Anbietervorgaben schlagen die allgemeine Praxis. Ein dokumentierter innerer Tunnelbereich kann /30 verlangen, selbst wo /31 auf Ihren Routern funktioniert, und ein verwaltetes Gateway kann eine bestimmte Maske für sein eigenes Subnetz fordern. Lesen Sie die Dienstanforderung, bevor Sie eine Faustregel von einer anderen Plattform übernehmen.

Ein Mehrpunkt-Overlay ändert die Rechnung erneut: eine Adresse pro Gateway, wobei das Overlay die Erreichbarkeit dazwischen übernimmt. Entscheiden Sie, welche Topologie die Umsetzung tatsächlich nutzt, bevor Sie Standorte mit einer Blockgröße multiplizieren.

Wachstum verdient eine eigene Zeile im Plan. Einen zusammenhängenden Infrastrukturbereich zu reservieren ist vernünftig, und ebenso festzuhalten, welche kleineren Zuteilungen darin liegen, damit der nächste Ingenieur die Reservierung nicht als eine Broadcast-Domain liest.

Halten Sie das Gateway-Subnetz aus dem LAN-Pool heraus

Die Infrastruktur eines verwalteten Gateways ist kein Client-Pool. Die Adressen in einem reservierten Gateway-Subnetz beherbergen die Komponenten des Dienstes selbst, und entfernte Mitarbeiter greifen nie darauf zu. Dieses Subnetz aus der Nutzerzahl zu bemessen ist ein Kategorienfehler, der entweder einen großen Bereich verschwendet oder das Gateway aushungert.

Dasselbe gilt für Tunnelbereiche bei Cloud-VPN-Verbindungen, wo der Anbieter pro Tunnel einen kleinen inneren Bereich für den eigenen Gebrauch zuteilt. Dieser Bereich ist nicht der Ort Ihrer Filialserver, und er steht nicht Ihnen zur Vergabe.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Die Außenadressen aufzulisten bestätigt, was der Anbieter zugeteilt hat und welcher redundante Tunnel gerade aktiv ist. Das ist schneller, als ein Entwurfsdokument zu lesen, das vor dem Bestehen der Verbindung geschrieben wurde.

Erfassen Sie Rolle, Verantwortlichen und Wachstum für jedes Präfix

Ein Plan, der den Kontakt mit dem Betrieb übersteht, nennt für jedes Präfix, welche Rolle es spielt, wer das entfernte Ende vergibt und wie viel Spielraum es bietet. Ohne das Feld für den Verantwortlichen teilen zwei Teams im selben Quartal dasselbe /24 zu, und die Kollision zeigt sich erst, wenn der Tunnel hochkommt.

Halten Sie diese Bereiche frei von Heim- und Filialpräfixen, die über andere Tunnel hereinkommen, denn überlappender Adressraum ist der übliche Grund, warum eine Standort-zu-Standort-Verbindung erfolgreich aushandelt und dann keinen Datenverkehr durchlässt.

Das Zuteilen innerer Streckenadressen kündigt die dahinterliegenden LANs nicht an. Routen oder Traffic-Selectors, Rückwege und Zugriffsregeln sind getrennte Arbeitsschritte, und der Plan sollte das sagen, statt zu implizieren, dass eine nummerierte Schnittstelle das Routing für Sie erledigt.