Πώς να διαστασιολογήσετε τον χώρο διευθύνσεων για VPN μεταξύ τοποθεσιών

Ρωτήστε πόσο μεγάλο πρέπει να είναι το υποδίκτυο του VPN και η ειλικρινής απάντηση είναι ότι στην ερώτηση μπορεί να κρύβονται τέσσερα διαφορετικά υποδίκτυα. Ένα VPN τοποθεσίας μπορεί να περιλαμβάνει τελικά σημεία μεταφοράς, αριθμημένους συνδέσμους σήραγγας, τα προθέματα του προστατευμένου LAN και, σε διαχειριζόμενες πύλες, ένα υποδίκτυο υποδομής που δεσμεύει ο πάροχος. Σε ένα δεδομένο σχέδιο υπάρχουν μόνο ένα ή δύο από αυτά. Η διαστασιολόγησή τους από τον αριθμό των συσκευών γραφείου είναι ο τρόπος με τον οποίο ένα σχέδιο καταλήγει σε /24 που δεν ικανοποιεί κανέναν.

Ονομάστε τους τέσσερις ρόλους πριν κατανείμετε οτιδήποτε

Τα τελικά σημεία μεταφοράς είναι οι διευθύνσεις που χρησιμοποιούν δύο πύλες για να φτάσουν η μία την άλλη μέσω διαδικτύου ή ιδιωτικού κυκλώματος, και το πλήθος τους προκύπτει από το μοντέλο πύλης και πλεονασμού, όχι από το LAN. Οι εσωτερικοί σύνδεσμοι σήραγγας υπάρχουν μόνο εκεί όπου το σχέδιο αριθμεί μια διεπαφή σημείου προς σημείο, κάτι που μια διαμόρφωση IPsec βασισμένη σε πολιτική συνήθως δεν κάνει. Τα προστατευμένα προθέματα είναι τα πραγματικά δίκτυα γραφείου ή VPC που πρέπει να είναι δρομολογήσιμα, και το υποδίκτυο που δεσμεύει ο πάροχος ανήκει στην διαχειριζόμενη υπηρεσία.

Απογράψτε ό,τι υπάρχει ήδη πριν προσθέσετε οτιδήποτε, γιατί το ακριβό λάθος εδώ είναι η επαναχρησιμοποίηση ενός προθέματος που δρομολογείται ήδη αλλού. Μια παλιά σήραγγα από πιλοτικό έργο αρκεί για να δηλητηριάσει ένα σχέδιο. Καταγράψτε την απογραφή με ημερομηνίες, γιατί η μνήμη ενός συνδέσμου που αποσύρθηκε ζει περισσότερο από τον ίδιο τον σύνδεσμο.

ip -br addr show
ip route show | head -40

Αυτές οι δύο εντολές δίνουν την τοπική εικόνα των συνδεδεμένων δικτύων και των διαδρομών που φτάνουν σε ό,τι βρίσκεται πέρα από αυτά. Επαναλάβετε την απογραφή σε κάθε τοποθεσία, γιατί ένα σχέδιο που χτίστηκε από την έξοδο μιας τοποθεσίας θα συγκρουστεί με αυτή της επόμενης. Συλλέξτε τις εξόδους πριν κατανείμετε ένα μόνο μπλοκ.

Μετρήστε συνδέσμους και τοπολογία, όχι συσκευές

Ένα σχέδιο με οκτώ γειτονιές σημείου προς σημείο καταναλώνει οκτώ μπλοκ, όχι ένα. Στο /30 κάθε μπλοκ ξοδεύει τέσσερις διευθύνσεις για να συνδέσει δύο κεντρικούς υπολογιστές, άρα το σχέδιο φέρει τριάντα δύο διευθύνσεις για δεκαέξι χρησιμοποιήσιμα τελικά σημεία, και αυτός είναι ο αριθμός που πρέπει να αντέξει ο προϋπολογισμός. Μια πλατφόρμα που υποστηρίζει συνδέσμους /31 ξοδεύει το μισό, αλλά μόνο όταν και τα δύο άκρα και η υπηρεσία συμφωνούν σε αυτό το μοντέλο. Στρογγυλοποιήστε τον προϋπολογισμό προς τα πάνω και όχι προς τα κάτω, γιατί η μείωση ενός μπλοκ αργότερα σημαίνει επαναρίθμηση ενεργών συνδέσμων.

Οι περιορισμοί του παρόχου υπερισχύουν της γενικής πρακτικής. Μια τεκμηριωμένη εσωτερική περιοχή σήραγγας μπορεί να απαιτεί /30 ακόμη και εκεί όπου το /31 λειτουργεί στους δρομολογητές σας, και μια διαχειριζόμενη πύλη μπορεί να απαιτεί συγκεκριμένη μάσκα για το δικό της υποδίκτυο. Διαβάστε την απαίτηση της υπηρεσίας πριν εφαρμόσετε έναν εμπειρικό κανόνα δανεισμένο από άλλη πλατφόρμα.

Μια επικάλυψη πολλαπλών σημείων αλλάζει ξανά την αριθμητική: μία διεύθυνση ανά πύλη, με την επικάλυψη να αναλαμβάνει την προσβασιμότητα μεταξύ τους. Αποφασίστε ποια τοπολογία χρησιμοποιεί πραγματικά η υλοποίηση πριν πολλαπλασιάσετε τις τοποθεσίες με ένα μέγεθος μπλοκ.

Η ανάπτυξη αξίζει τη δική της γραμμή στο σχέδιο. Η δέσμευση μιας συνεκτικής περιοχής υποδομής είναι λογική, όπως και η καταγραφή ποιων μικρότερων κατανομών βρίσκονται μέσα σε αυτήν, ώστε ο επόμενος μηχανικός να μη διαβάσει τη δέσμευση ως έναν μόνο τομέα εκπομπής.

Κρατήστε το υποδίκτυο πύλης έξω από τη δεξαμενή του LAN

Η υποδομή μιας διαχειριζόμενης πύλης δεν είναι δεξαμενή πελατών. Οι διευθύνσεις σε ένα δεσμευμένο υποδίκτυο πύλης φιλοξενούν τα συστατικά της ίδιας της υπηρεσίας, και οι απομακρυσμένοι εργαζόμενοι δεν παίρνουν ποτέ από αυτές. Η διαστασιολόγηση αυτού του υποδικτύου από τον αριθμό χρηστών είναι σφάλμα κατηγορίας που είτε σπαταλά μια μεγάλη περιοχή είτε λιμοκτονεί την πύλη.

Το ίδιο ισχύει για τις περιοχές σήραγγας στις συνδέσεις VPN cloud, όπου ο πάροχος εκχωρεί μια μικρή εσωτερική περιοχή ανά σήραγγα για δική του χρήση. Αυτή η περιοχή δεν είναι εκεί όπου ζουν οι διακομιστές του υποκαταστήματός σας, και δεν είναι δική σας για να τη μοιράσετε.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Η απαρίθμηση των εξωτερικών διευθύνσεων επιβεβαιώνει τι εκχώρησε ο πάροχος και ποια εφεδρική σήραγγα είναι ενεργή αυτή τη στιγμή. Είναι ταχύτερο από το να διαβάσετε ένα έγγραφο σχεδίασης που γράφτηκε πριν υπάρξει η σύνδεση.

Καταγράψτε ρόλο, ιδιοκτήτη και ανάπτυξη για κάθε πρόθεμα

Ένα σχέδιο που επιβιώνει από την επαφή με τη λειτουργία δηλώνει, για κάθε πρόθεμα, ποιο ρόλο παίζει, ποιος εκχωρεί το απομακρυσμένο άκρο και πόσο περιθώριο έχει. Χωρίς το πεδίο ιδιοκτήτη δύο ομάδες εκχωρούν το ίδιο /24 στο ίδιο τρίμηνο, και η σύγκρουση εμφανίζεται μόνο όταν ανέβει η σήραγγα.

Κρατήστε αυτές τις περιοχές μακριά από προθέματα σπιτιού και υποκαταστήματος που φτάνουν μέσω άλλων σηράγγων, γιατί η επικάλυψη χώρου είναι ο συνήθης λόγος που μια σύνδεση μεταξύ τοποθεσιών διαπραγματεύεται με επιτυχία και στη συνέχεια δεν περνά καθόλου κίνηση.

Η εκχώρηση εσωτερικών διευθύνσεων συνδέσμου δεν διαφημίζει τα LAN πίσω από αυτές. Οι διαδρομές ή οι επιλογείς κίνησης, οι διαδρομές επιστροφής και οι κανόνες πρόσβασης είναι ξεχωριστά στοιχεία εργασίας, και το σχέδιο πρέπει να το λέει αυτό αντί να υπονοεί ότι μια αριθμημένη διεπαφή κάνει τη δρομολόγηση για εσάς.