Σχεδιάστε τα ιδιωτικά εύρη διευθύνσεων VPN πριν συγκρουστούν οι τοποθεσίες

Δύο τοποθεσίες που χρησιμοποιούν και οι δύο 192.168.1.0/24 μπορούν καθεμία να φτάσει στο διαδίκτυο και παρ’ όλα αυτά να μην φτάνουν η μία την άλλη. Η πύλη δεν εγείρει σφάλμα· εγκαθιστά μία διαδρομή για αυτό το πρόθεμα και στέλνει κάθε πακέτο στον ομότιμο που το διεκδίκησε πρώτος. Τίποτα στη χειραψία, στη λίστα κρυπτογραφικών ή στη μετρική της διεπαφής δεν λέει ποιος ομότιμος είναι λάθος. Ο σχεδιασμός διευθύνσεων είναι το κομμάτι του σχεδίου που το ξεκαθαρίζει πριν συνδεθεί κανείς.

Απογράψτε κάθε χώρο που πρέπει να είναι προσβάσιμος

Γράψτε τα εύρη που πρέπει να δρομολογηθούν, όχι μόνο αυτά που ρυθμίζετε. Αυτό σημαίνει LAN τοποθεσιών, δεξαμενές πελατών VPN, υποδίκτυα cloud, δίκτυα διαχείρισης και out-of-band, τμήματα εργαστηρίου και τα δίκτυα από τα οποία συνδέονται συνήθως οι χρήστες από το σπίτι. Ένας οικιακός δρομολογητής που παραδίδεται ως 192.168.1.0/24 δεν είναι υποθετικός, και το ίδιο πρόθεμα εμφανίζεται σε ξενοδοχεία και συνεδριακούς χώρους. Η απογραφή είναι ένας πίνακας προθέματος, ιδιοκτήτη και σκοπού, και είναι το μόνο τεκμήριο που εμποδίζει το ίδιο εύρος να δοθεί δύο φορές.

Προσθέστε τα προθέματα που περιμένετε μέσα στον επόμενο χρόνο, γιατί ένα σχέδιο που καλύπτει μόνο το σήμερα αποτυγχάνει στην πρώτη νέα τοποθεσία. Σημειώστε σε κάθε γραμμή ποιος μπορεί να το αλλάξει, όχι μόνο ποιος το κατέχει.

Η επαναχρησιμοποίηση είναι αυτό που το κάνει δύσκολο: ο ιδιωτικός χώρος είναι πεπερασμένος και κάθε οργανισμός θεωρεί το 10.0.0.0/8 δικό του. Ένα σχέδιο δεν μπορεί να υποσχεθεί ότι κανένα μελλοντικό LAN επισκεπτών δεν θα πέσει σε ένα από τα προθέματά σας, οπότε το σχέδιο πρέπει να λέει τι γίνεται όταν συμβεί. Δύο κανόνες κάνουν τη μεγαλύτερη δουλειά. Βάλτε τις δεξαμενές πελατών σε ένα συνεχόμενο μπλοκ που μπορείτε να συνοψίσετε, και μην εκχωρείτε ποτέ εύρος που δρομολογεί ήδη άλλη ομάδα. Όλα τα υπόλοιπα είναι ένα αρχείο που κάποιος κρατά ενημερωμένο.

Γιατί μια επικάλυψη νικά τον πίνακα δρομολόγησης

Μια διαδρομή είναι ένα πρόθεμα συν το επόμενο άλμα, και η προώθηση επιλέγει το μεγαλύτερο ταιριαστό πρόθεμα. Όταν δύο ομότιμοι διεκδικούν και οι δύο το 192.168.1.0/24, ο πίνακας κρατά μία εγγραφή γι’ αυτό, άρα η κίνηση και των δύο τοποθεσιών βγαίνει από την ίδια σήραγγα. Η δεύτερη τοποθεσία δεν είναι λάθος ρυθμισμένη· είναι απρόσιτη επειδή η πρώτη απαντά για τις ίδιες διευθύνσεις. Καμία μετρική δεν μπορεί να τις χωρίσει, αφού η αντιστοίχιση γίνεται πριν εξεταστούν οι μετρικές.

Η αποτυχία είναι ασύμμετρη και εύκολο να παρερμηνευτεί. Οι hosts της τοποθεσίας A φτάνουν στην πύλη και σε ορισμένες υπηρεσίες, ενώ οι hosts της τοποθεσίας B δεν απαντούν σε τίποτα, και το αρχείο καταγραφής δείχνει υγιή σήραγγα και προς τις δύο κατευθύνσεις. Αυτό το μοτίβο είναι σύγκρουση διευθύνσεων και όχι βλάβη ταυτοποίησης ή τείχους προστασίας, και η επιβεβαίωσή του απαιτεί μία εκτύπωση του πίνακα σε σύγκριση με την απογραφή.

Διαστασιολογήστε συνειδητά τη δεξαμενή πελατών και τα εύρη των τοποθεσιών

Μια δεξαμενή πελατών VPN είναι ένα εύρος που η πύλη παραχωρεί μία διεύθυνση τη φορά, άρα το μέγεθός της περιορίζει τον παραλληλισμό. Ένα /24 χωρά 254 χρησιμοποιήσιμες διευθύνσεις, που είναι γενναιόδωρο για μια μικρή ομάδα και στενό για ένα υποκατάστημα με containers· ένα /22 δεν κοστίζει τίποτα επιπλέον μέσα στον ιδιωτικό χώρο και αφαιρεί τη διαφωνία. Κρατήστε τη δεξαμενή συνεχόμενη και μακριά από κάθε LAN τοποθεσίας, ώστε η συνοπτική διαδρομή προς τους πελάτες να μην καταπίνει ποτέ μια τοποθεσία. Δεσμεύστε το εύρος ακόμη και όταν η δεξαμενή είναι άδεια, γιατί το εύρος που δεν γράφτηκε είναι αυτό που θα εκχωρήσει ο επόμενος μηχανικός.

Οι τοποθεσίες παίρνουν εύρη διαστασιολογημένα για τους αναμενόμενους hosts συν την ανάπτυξη, ευθυγραμμισμένα σε ένα όριο που συνοψίζεται καθαρά. Τα σκόπιμα κενά μεταξύ εκχωρήσεων δεν κοστίζουν τίποτα και αγοράζουν χώρο για συνάθροιση αργότερα.

Έπειτα ελέγξτε την κατεύθυνση που ξεχνούν οι άνθρωποι: την επιστροφή. Κάθε δρομολογητής τοποθεσίας χρειάζεται διαδρομή προς τη δεξαμενή πελατών, και ο συγκεντρωτής χρειάζεται διαδρομή προς κάθε πρόθεμα τοποθεσίας που εξυπηρετεί. Ένας τακτοποιημένος πίνακας προθεμάτων χωρίς δρόμο επιστροφής στη δεξαμενή είναι ακόμη σπασμένο σχέδιο, και το σύμπτωμα είναι μονόδρομη σύνδεση που δεν απαντά σε τίποτα. Κρατήστε και τις δύο κατευθύνσεις στον ίδιο πίνακα και ελέγχετέ τον όποτε προστίθεται τοποθεσία.

Η μετάφραση και η επαναρίθμηση λύνουν διαφορετικά προβλήματα

Όταν υπάρχει ήδη επικάλυψη, υπάρχουν δύο έντιμες επιλογές και μία ανέντιμη. Η επαναρίθμηση αφαιρεί τη σύγκρουση οριστικά και κοστίζει ένα παράθυρο συντήρησης συν κάθε σκληρά κωδικοποιημένη διεύθυνση που ξεχάσατε. Η μετάφραση διευθύνσεων αντιστοιχίζει το ιδιωτικό εύρος της μίας πλευράς σε άλλο εύρος στην άκρη της σήραγγας, που αφήνει και τις δύο τοποθεσίες άθικτες αλλά προσθέτει κατάσταση, σπάει πρωτόκολλα που ενσωματώνουν διευθύνσεις και κάνει τα αρχεία καταγραφής δυσκολότερα στην ανάγνωση. Η ανέντιμη επιλογή είναι μια διαδρομή host προς έναν μόνο διακομιστή, που περνά μία δοκιμή και αποτυγχάνει σε όλα τα άλλα.

Διαλέξτε με κριτήριο τον έλεγχο και τη διάρκεια ζωής. Μια τοποθεσία που σας ανήκει και μπορείτε να προγραμματίσετε ανήκει στη διαδρομή επαναρίθμησης· ένα δίκτυο συνεργάτη που δεν μπορείτε να αγγίξετε, για μία εφαρμογή, είναι υποψήφιο για μετάφραση με τεκμηριωμένη αντιστοίχιση. Γράψτε αυτή την αντιστοίχιση, γιατί μια μετάφραση που υπάρχει μόνο μέσα σε ένα αρχείο ρυθμίσεων εξαφανίζεται τη στιγμή που το αρχείο αντικαθίσταται.

Δοκιμάστε από την απέναντι πλευρά πριν την ανάπτυξη

Δοκιμάστε από δίκτυο που δεν φιλοξενεί την πύλη, γιατί το δικό της LAN κρύβει τα περισσότερα λάθη δρομολόγησης. Συνδέστε έναν πελάτη πίσω από ένα συνηθισμένο οικιακό δρομολογητή και μετά φτάστε σε μια υπηρεσία σε κάθε τοποθεσία και σε μία μέσα στη δεξαμενή πελατών. Δοκιμάστε και την αντίστροφη κατεύθυνση, από host τοποθεσίας προς τον πελάτη, γιατί οι διαδρομές επιστροφής αποτυγχάνουν ανεξάρτητα. Μια δοκιμή που κάνει ping μόνο στην πύλη αποδεικνύει ότι η σήραγγα είναι ενεργή και τίποτα περισσότερο.

Κρατήστε εύρη, ιδιοκτήτες και αντιστοιχίσεις μετάφρασης σε ένα κοινό αρχείο που η επόμενη τοποθεσία διαβάζει πριν εκχωρήσει οτιδήποτε. Ελέγξτε το όταν προστίθεται τοποθεσία και αντιμετωπίστε ένα μη τεκμηριωμένο εύρος ως ελάττωμα και όχι ως έκπληξη.

Το αρχείο είναι το παραδοτέο. Ένα σχέδιο που ζει στη μνήμη τριών ανθρώπων αποτυγχάνει την πρώτη φορά που ένας από αυτούς λείπει σε άδεια, και μια επικάλυψη που βρίσκεται στην παραγωγή κοστίζει περισσότερο από ό,τι θα κόστιζε ο πίνακας.