Kiel buĝeti adresan spacon por VPN kun pluraj lokoj

Kiom granda devus esti la VPN-subreto havas neniun respondon ĝis vi nomos kiujn adresojn vi kalkulas. En unu dezajno tiuj adresoj estas la du finpunktoj de numerita tunela ligo, en alia ili estas la oficeja LAN malantaŭ politiko-bazita tunelo, kaj en tria ili estas la rezervita infrastrukturo de administrata pordego. Tri objektoj, tri buĝetoj, kaj plej multaj eraroj pri grandeco venas de plenigo de unu kolumno per la nombro de alia kolumno.

Kvar roloj, kvar malsamaj demandoj

La ekstera transporto estas la adreso al kiu partnero konektas, do ĝia grandeco sekvas vian publikan adresadon aŭ tiun de la provizanto, neniam la nombron de aparatoj malantaŭ ĝi. Internaj tunelaj ligoj ekzistas nur en dezajnoj kiuj numeras virtualan interfacon, kaj tie la nombro sekvas la apudecojn de la topologio. Prefiksoj de protektita LAN sekvas la realajn retojn kaj ilian kreskan planon. Infrastrukturo rezervita de la provizanto sekvas tion, kion dokumentas la administrata servo.

Nur la tria el tiuj havas ian rilaton al kiom da tekkomputiloj la oficejo enhavas. Ĝuste tiu konfuzo klarigas la plej multajn disputojn.

Skribu la kvar rolojn kiel apartajn kolumnojn antaŭ ol malfermi kalkulilon. Ĉiu ricevas sian propran asignon, posedanton kaj kreskan supozon, kaj neniu heredas la grandecon de alia. Kiam dezajno ne havas numeritan internan ligon, tiu kolumno estas malplena anstataŭ malgranda, kaj malplena kolumno estas fakto inda je registrado por la sekva revizianto.

Kalkuli blokojn: kion /30 vere kostas

Punkto-al-punkta ligo bezonas du adresojn kaj konsumas blokon kies grandeco dependas de la platformo. /30 tenas kvar adresojn, el kiuj du kutime estas uzeblaj, do dek du ligoj konsumas kvardek ok adresojn en la plano dum ili proponas dudek kvar finpunktojn. /31 tenas du adresojn kaj ambaŭ estas uzeblaj, kio duonigas la aritmetikon sed nur tie, kie ambaŭ finoj akceptas ĝin.

RFC 3021 difinas la modelon de du adresoj, kaj subteno estas eco de la finpunktoj kaj de la servo, ne de bonaj intencoj. Provizanta API povas trudi sian propran maskan postulon al interna tunela opcio, kaj ĝenerala RFC ne nuligas dokumentitan limigon. Kontrolu kion deklaras via platformo antaŭ ol resumi la buĝeton, ĉar la diferenco inter kvardek ok kaj dudek kvar adresoj decidas ĉu la plano konvenas en la rezervitan intervalon. Faru la aritmetikon anstataŭ fidi ĝin fine de longa tago.

ipcalc -n 10.44.12.0/30
ipcalc -n 10.44.12.4/31

Multipliku nur post kiam la topologio estas fiksita. Dek du apartaj ligoj kaj unu plurbunkta surmetaĵo kun dek du partoprenantoj produktas tre malsamajn sumojn el la sama nombro de lokoj.

La subreto de la administrata pordego ne estas klienta baseno

Administrata servo ofte rezervas subreton por sia propra pordega infrastrukturo, kaj tiun subreton konsumas la servo anstataŭ doni ĝin al klientoj. Ĝi havas dokumentitan grandecon, foje dokumentitan nomon, kaj neniun rilaton al kiom da uzantoj konektas. Trakti ĝin kiel la adresan basenon por malproksimaj maŝinoj produktas dezajnon kiu elĉerpiĝas la unuan okupatan matenon.

Legu la postulon de la provizanto kiel fiksan koston, kiel vi traktus rakan unuon. Ĝi ne estas parto de la buĝeto de la protektita prefikso.

La sama legado validas por nomoj. Subreto kies dokumentita celo estas pordega infrastrukturo estas infrastrukturo laŭ konvencio en tiu servo, kaj renomigi ĝin por konveni al via propra skemo rompas la disfaldiĝon anstataŭ plibonigi la diagramon. Konservu la nomojn kaj grandecojn de la provizanto, kaj elspezu vian propran numeran skemon sur la partojn kiujn vi kontrolas.

Dokumentu la planon por ke ĝi travivu la duan lokon

Plano kiu vivas en la kapo de unu inĝeniero fiaskas ĉe la unua interkovro inter oficeja prefikso kaj la implicita intervalaro de hejma enkursigilo. Publikigu la asignojn kun iliaj posedantoj, kaj diru kiun finon de ĉiu ligo asignas kiun adreson. Vojoj aŭ selektiloj ankoraŭ devas esti anoncataj, ĉar numeri internan ligon per si mem ne publikigas LAN-on.

Registru la kreskan supozon malantaŭ ĉiu bloko, ĉar tio estas la parto kiun neniu posta leganto povas rekonstrui nur el la adresoj.

Poste testu la planon kontraŭ la malkomfortaj kazoj: loko kiu alvenas kun prefikso kiun vi jam uzas, ligo kies malproksiman finon administras iu alia, kaj regiono kies provizanta postulo diferencas de la unua kiun vi dokumentis. Se iu el tiuj devigas redezajnon, tio kion vi havis estis diagramo kaj ne politiko. Plano kiu travivas ilin estas sufiĉe mallonga por sidi en la deponejo apud la tunela agordo, kaj ĝuste tie la sekva persono serĉos ĝin.