Cómo dimensionar el espacio de direcciones de una VPN de sitio a sitio

Pregunte qué tamaño debe tener la subred de la VPN y la respuesta honesta es que puede haber cuatro subredes distintas dentro de la pregunta. Una VPN de sitio puede incluir extremos de transporte, enlaces de túnel numerados, los prefijos de la LAN protegida y, en puertas de enlace gestionadas, una subred de infraestructura que reserva el proveedor. En un diseño concreto solo existen una o dos de ellas. Dimensionarlas a partir del número de dispositivos de oficina es cómo un plan acaba con una /24 que no satisface a nadie.

Nombre los cuatro roles antes de asignar nada

Los extremos de transporte son las direcciones que dos puertas de enlace usan para alcanzarse a través de internet o de un circuito privado, y su número procede del modelo de puerta de enlace y redundancia, no de la LAN. Los enlaces de túnel internos solo existen donde el diseño numera una interfaz punto a punto, algo que una configuración IPsec basada en políticas normalmente no hace. Los prefijos protegidos son las redes reales de oficina o de VPC que deben ser enrutables, y la subred reservada por el proveedor pertenece al servicio gestionado.

Inventaríe lo que ya existe antes de añadir nada, porque el error caro aquí es reutilizar un prefijo que ya se enruta en otro sitio. Un túnel olvidado de un proyecto piloto basta para envenenar un plan. Anote el inventario con fechas, porque el recuerdo de un enlace dado de baja sobrevive al enlace mismo.

ip -br addr show
ip route show | head -40

Esos dos comandos dan la vista local de las redes conectadas y de las rutas que alcanzan todo lo que hay más allá. Repita el inventario en cada sitio, porque un plan construido con la salida de un sitio chocará con la del siguiente. Recoja las salidas antes de asignar un solo bloque.

Cuente enlaces y topología, no dispositivos

Un diseño con ocho adyacencias punto a punto consume ocho bloques, no uno. En /30 cada bloque gasta cuatro direcciones para conectar dos hosts, así que el plan lleva treinta y dos direcciones para dieciséis extremos utilizables, y esa es la cifra que el presupuesto debe cubrir. Una plataforma que admite enlaces /31 gasta la mitad, pero solo cuando ambos extremos y el servicio coinciden en ese modelo. Redondee el presupuesto hacia arriba y no hacia abajo, porque reducir un bloque después obliga a renumerar enlaces activos.

Las restricciones del proveedor mandan sobre la práctica general. Un rango interno documentado puede exigir /30 incluso donde /31 funciona en sus routers, y una puerta de enlace gestionada puede exigir una máscara concreta para su propia subred. Lea el requisito del servicio antes de aplicar una regla empírica tomada de otra plataforma.

Una malla multipunto cambia de nuevo la aritmética: una dirección por puerta de enlace, con la malla encargándose de la alcanzabilidad entre ellas. Decida qué topología usa realmente la implementación antes de multiplicar sitios por un tamaño de bloque.

El crecimiento merece su propia línea en el plan. Reservar un rango de infraestructura coherente es razonable, y también lo es anotar qué asignaciones menores caben dentro, para que el siguiente ingeniero no lea la reserva como un único dominio de difusión.

Mantenga la subred de puerta de enlace fuera del grupo de la LAN

La infraestructura de una puerta de enlace gestionada no es un grupo de clientes. Las direcciones de una subred de puerta de enlace reservada alojan los componentes del propio servicio, y los trabajadores remotos nunca toman de ellas. Dimensionar esa subred a partir del número de usuarios es un error de categoría que o bien desperdicia un rango grande o bien deja sin direcciones a la puerta de enlace.

Lo mismo vale para los rangos de túnel en conexiones VPN en la nube, donde el proveedor asigna un rango interno pequeño por túnel para su propio uso. Ese rango no es donde viven sus servidores de sucursal, y no es suyo para repartirlo.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Listar las direcciones externas confirma lo que asignó el proveedor y qué túnel redundante está activo en este momento. Es más rápido que leer un documento de diseño escrito antes de que existiera la conexión.

Registre rol, propietario y crecimiento para cada prefijo

Un plan que sobrevive al contacto con la operación declara, para cada prefijo, qué rol desempeña, quién asigna el extremo remoto y cuánto margen contiene. Sin el campo de propietario, dos equipos asignan la misma /24 en el mismo trimestre y la colisión solo aparece cuando el túnel se levanta.

Mantenga estos rangos lejos de los prefijos domésticos y de sucursal que llegan por otros túneles, porque el solapamiento de espacio es la razón habitual por la que una conexión de sitio a sitio negocia con éxito y luego no pasa tráfico.

Asignar direcciones de enlace internas no anuncia las LAN que están detrás. Las rutas o selectores de tráfico, los caminos de retorno y las reglas de acceso son tareas aparte, y el plan debería decirlo en lugar de insinuar que una interfaz numerada hace el enrutamiento por usted.