Kiel taksi la adresaron por VPN inter retejoj

Demandu kiom granda la VPN-subreto devus esti kaj la honesta respondo estas ke la demando povas enhavi kvar malsamajn subretojn. Reteja VPN povas inkluzivi transportajn finpunktojn, numeritajn tunelajn ligilojn, la protektitajn LAN-prefiksojn kaj, ĉe administrataj pordegoj, infrastrukturan subreton kiun la provizanto rezervas. Nur unu aŭ du el tiuj ekzistas en donita dezajno. Taksi ilin el la nombro da oficejaj aparatoj estas kiel plano finiĝas kun /24, kiu kontentigas neniun.

Nomu la kvar rolojn antaŭ ol asigni ion ajn

Transportaj finpunktoj estas la adresoj, kiujn du pordegoj uzas por atingi unu la alian tra la interreto aŭ privata cirkvito, kaj ilia nombro venas el la pordega kaj redundanca modelo, ne el la LAN. Internaj tunelaj ligiloj ekzistas nur tie, kie la dezajno numeras punkt-al-punktan interfacon, kion politiko-bazita IPsec-agordo kutime ne faras. Protektitaj prefiksoj estas la veraj oficejaj aŭ VPC-retoj, kiuj devas esti enkursigeblaj, kaj la provizanto-rezervita subreto apartenas al la administrata servo.

Inventaru tion, kio jam ekzistas, antaŭ ol aldoni ion, ĉar la multekosta eraro ĉi tie estas reuzi prefikson, kiu jam estas enkursigata aliloke. Malnova tunelo el pilotprojekto sufiĉas por veneni planon. Skribu la inventaron kun datoj, ĉar la memoro pri malmuntita ligilo pluvivas pli longe ol la ligilo mem.

ip -br addr show
ip route show | head -40

Tiuj du komandoj donas la lokan bildon de konektitaj retoj kaj de la enkursigoj, kiuj atingas ĉion preter ili. Ripetu la inventaron ĉe ĉiu retejo, ĉar plano konstruita el la eligo de unu retejo kolizios kun tiu de la sekva. Kolektu la eligojn antaŭ ol asigni unu solan blokon.

Kalkulu ligilojn kaj topologion, ne aparatojn

Dezajno kun ok punkt-al-punktaj najbaroj konsumas ok blokojn, ne unu. Ĉe /30 ĉiu bloko elspezas kvar adresojn por konekti du gastigantojn, do la plano portas tridek du adresojn por dek ses uzeblaj finpunktoj, kaj tio estas la cifero, kiun la buĝeto devas teni. Platformo subtenanta /31-ligilojn elspezas duonon, sed nur kiam ambaŭ finoj kaj la servo konsentas pri tiu modelo. Rondigu la buĝeton supren prefere ol malsupren, ĉar malgrandigi blokon poste signifas renumeri vivajn ligilojn.

Limigoj de la provizanto superas ĝeneralan praktikon. Dokumentita interna tunela gamo povas postuli /30 eĉ tie, kie /31 funkcias sur viaj enkursigiloj, kaj administrata pordego povas postuli specifan maskon por sia propra subreto. Legu la servan postulon antaŭ ol apliki regulon bazitan sur sperto prunteprenitan de alia platformo.

Multpunkta surmeto denove ŝanĝas la aritmetikon: unu adreso por pordego, kun la surmeto traktanta atingeblon inter ili. Decidu, kiun topologion la efektivigo vere uzas, antaŭ ol multipliki retejojn per blokgrando.

Kresko meritas sian propran linion en la plano. Rezervi koheran infrastrukturan gamon estas racia, kaj same registri, kiuj pli malgrandaj asignoj troviĝas en ĝi, por ke la sekva inĝeniero ne legu la rezervon kiel unu dissendan domajnon.

Tenu la pordegan subreton ekster la LAN-baseno

Infrastrukturo de administrata pordego ne estas klienta baseno. La adresoj en rezervita pordega subreto gastigas la proprajn komponentojn de la servo, kaj remotaj laborantoj neniam ĉerpas el ili. Taksi tiun subreton el la nombro da uzantoj estas kategoria eraro, kiu aŭ malŝparas grandan gamon aŭ malsatigas la pordegon.

La samo validas por tunelaj gamoj ĉe nubaj VPN-konektoj, kie la provizanto asignas malgrandan internan gamon por tunelo por sia propra uzo. Tiu gamo ne estas kie loĝas viaj filiaj serviloj, kaj ĝi ne estas via por disdoni.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Listigi la eksterajn adresojn konfirmas, kion la provizanto asignis kaj kiu redundanca tunelo nun estas aktiva. Ĝi estas pli rapida ol legi dezajnan dokumenton skribitan antaŭ ol la konekto ekzistis.

Registru rolon, posedanton kaj kreskon por ĉiu prefikso

Plano, kiu postvivas kontakton kun operacioj, deklaras por ĉiu prefikso, kiun rolon ĝi ludas, kiu asignas la malproksiman finon kaj kiom da spaco restas. Sen la posedanta kampo, du teamoj asignas la saman /24 en la sama kvartalo kaj la kolizio montriĝas nur kiam la tunelo ekfunkcias.

Tenu tiujn gamojn for de hejmaj kaj filiaj prefiksoj alvenantaj tra aliaj tuneloj, ĉar koincida adresaro estas la kutima kaŭzo, kial interreteja konekto sukcese negocas kaj poste pasigas neniun trafikon.

Asigni internajn ligilajn adresojn ne anoncas la LAN-ojn malantaŭ ili. Enkursigoj aŭ trafikoselektiloj, revenaj vojoj kaj alirreguloj estas apartaj laboreroj, kaj la plano devus diri tion anstataŭ sugesti, ke numerita interfaco faras la enkursigadon por vi.