Σχεδιάστε τα υποδίκτυα πριν από ένα VPN τοποθεσίας: επαναριθμήστε ή μεταφράστε

Δύο γραφεία χρησιμοποιούν και τα δύο 192.168.1.0/24 επειδή κανείς δεν σχεδίασε κάτι άλλο, και αναμένεται το τούνελ να το λύσει. Δεν μπορεί: ένας δρομολογητής δεν μπορεί να κάνει την ίδια ιδιωτική διεύθυνση να σημαίνει δύο διαφορετικά μέρη. Η εργασία που το αποτρέπει γίνεται πριν πληκτρολογηθεί η πρώτη παράμετρος του τούνελ.

Καταγράψτε κάθε εύρος, συμπεριλαμβανομένων εκείνων που ξεχάσατε

Συλλέξτε τα LAN, τα τμήματα διακομιστών, τις δεξαμενές πελατών απομακρυσμένης πρόσβασης, τα εύρη VPC του cloud και οποιαδήποτε δίκτυα κοντέινερ ή επικάλυψης στα οποία πρέπει να φτάνουν οι κεντρικοί υπολογιστές. Οι δεξαμενές πελατών είναι αυτές που ξεχνά ο κόσμος, και επικαλύπτονται με ένα εύρος γραφείου εκπληκτικά συχνά επειδή και τα δύο επιλέχθηκαν από την ίδια προεπιλογή. Συμπεριλάβετε το δίκτυο διαχείρισης και οποιοδήποτε τμήμα εκτός ζώνης.

Καταγράψτε ιδιοκτήτη, πύλη, σκοπό και αν το πρόθεμα πρέπει να είναι προσβάσιμο από την άλλη τοποθεσία. Ένα πρόθεμα που δεν χρειάζεται ποτέ να διασχίσει το τούνελ δεν χρειάζεται να είναι μοναδικό, και η γνώση αυτού μειώνει την εργασία επαναρίθμησης.

Κάντε το IPv6 ξεχωριστά, επειδή το σχέδιο και οι επικαλύψεις του είναι ανεξάρτητα.

Συγκρίνετε προθέματα, όχι γνωστές διευθύνσεις

Δύο δίκτυα με διαφορετικές διευθύνσεις κεντρικών υπολογιστών μπορούν ακόμη να επικαλύπτονται, επειδή η επικάλυψη είναι ιδιότητα των μασκών και όχι των αριθμών που θυμάται ο κόσμος. Το 10.20.0.0/16 περιέχει το 10.20.30.0/24 είτε το πει κάποιος δυνατά είτε όχι. Συγκρίνετε πλήρη ζεύγη προθεμάτων και ελέγξτε τα αθροίσματα με τα μικρότερα δίκτυα μέσα τους. Γι' αυτό ο έλεγχος ανήκει σε υπολογιστικό φύλλο και όχι στο μυαλό κάποιου.

Ο ίδιος έλεγχος ισχύει για την ίδια τη δεξαμενή πελατών του VPN και για οποιοδήποτε μεταφρασμένο εύρος σκοπεύετε να εισαγάγετε, αφού ένα μεταφρασμένο εύρος που συγκρούεται είναι χειρότερο από την αρχική επικάλυψη.

Ένας πίνακας προθεμάτων με μάσκες αρκεί· ένα διάγραμμα χωρίς μάσκες όχι.

Αποφασίστε τι πρέπει πραγματικά να διασχίσει

Μια τοποθεσία μπορεί να περιέχει τριάντα υποδίκτυα ενώ ένα δίκτυο υπηρεσίας χρειάζεται απομακρυσμένη πρόσβαση. Ξεκινήστε από αυτή την απαίτηση και ανακοινώστε μόνο ό,τι χρειάζεται, επειδή οι μικρότερες ανακοινώσεις και οι αντίστοιχοι κανόνες πρόσβασης ελέγχονται ευκολότερα και διευρύνονται δυσκολότερα κατά λάθος. Το να ανακοινώνετε κάθε ιδιωτικό εύρος σε χρήση είναι συνήθεια που μετατρέπει ένα τούνελ σε γέφυρα. Όσο στενότερη η ανακοίνωση, τόσο μικρότερη η ακτίνα επιρροής ενός μελλοντικού λάθους.

Το ιδιωτικό DNS πρέπει να επιστρέφει διευθύνσεις που μπορούν να φτάσουν οι προβλεπόμενοι πελάτες, οπότε ένα όνομα που δείχνει σε εύρος μη ανακοινωμένο ή επικαλυπτόμενο παραμένει χαλασμένο ακόμη και όταν η αναζήτηση πετύχει.

Γράψτε τη λίστα πρόσβασης πριν από τη διαμόρφωση του τούνελ, όχι αφού αποτύχει.

Επαναριθμήστε ή μεταφράστε, και γνωρίζετε το κόστος

Η επαναρίθμηση ενός δικτύου είναι συνήθως το σαφέστερο μακροπρόθεσμο μέτρο, και αγγίζει κρατήσεις, συσκευές, DNS, κανόνες τείχους προστασίας και οτιδήποτε έχει διεύθυνση ψημένη σε διαμόρφωση. Η μετάφραση ενός εύρους πρόσβασης είναι η εναλλακτική όταν η επαναρίθμηση είναι μη πρακτική, και κοστίζει την ταυτότητα της πηγής συν μια κατηγορία πρωτοκόλλων που ενσωματώνουν διευθύνσεις στο φορτίο. Διαλέξτε ένα και τελειώστε το, γιατί ένα μισο-επαναριθμημένο δίκτυο είναι χειρότερο από οποιαδήποτε από τις δύο επιλογές.

Όποιο κι αν διαλέξετε, τεκμηριώστε και την αρχική και την παρουσιαζόμενη διεύθυνση, γιατί κάθε μεταγενέστερη συζήτηση αντιμετώπισης προβλημάτων τις χρειάζεται.

Μια παράκαμψη χωρίς διαδρομή επιστροφής δεν είναι παράκαμψη.

Χρησιμοποιήστε έναν πίνακα δρομολόγησης ως δοκιμή αποδοχής

Τελειώστε με έναν πίνακα: τοπικό πρόθεμα, απομακρυσμένο πρόθεμα, επιτρεπόμενη υπηρεσία και πύλη επιστροφής. Αυτός ο πίνακας είναι η δοκιμή αποδοχής όταν σηκωθεί το τούνελ, και είναι επίσης το έγγραφο που θα διαβάσει ο επόμενος μηχανικός. Δοκιμάστε από πραγματικούς κεντρικούς υπολογιστές στα επιλεγμένα υποδίκτυα και όχι από τις πύλες.

Ένα ping μεταξύ διευθύνσεων τούνελ αποδεικνύει ότι το τούνελ υπάρχει και τίποτα για το σχέδιο διευθύνσεων πίσω του.

Κρατήστε τον πίνακα μαζί με τη διαμόρφωση του τούνελ, και η επόμενη προσθήκη τοποθεσίας ξεκινά από δεδομένα αντί από μνήμη. Ο οδηγός προώθησης του strongSwan καλύπτει την πλευρά της πύλης μόλις υπάρξει το σχέδιο.