Planeerige alamvõrgud enne saidi-VPN-i: numereerige ümber või tõlkige

Kaks kontorit kasutavad mõlemad 192.168.1.0/24, sest keegi ei planeerinud teisiti, ja tunnel peaks selle lahendama. Ei suuda: ruuter ei saa teha nii, et sama privaatne aadress tähendab kahte erinevat kohta. Töö, mis seda ennetab, tehakse enne esimese tunneliparameetri sisestamist.

Loendage iga vahemik, ka need, mille unustasite

Koguge LAN-id, serverisegmendid, kaugjuurdepääsu kliendipoolid, pilve VPC vahemikud ja kõik konteineri- või ülekattuvõrgud, kuhu hostid peavad pääsema. Kliendipoolid on need, mille inimesed unustavad, ja need kattuvad kontorivahemikuga üllatavalt sageli, sest mõlemad valiti samast vaikeväärtusest. Kaasake haldusvõrk ja iga ribaväline segment.

Märkige omanik, lüüs, otstarve ja kas prefiks peab olema teisest saidist kättesaadav. Prefiks, mis ei pea kunagi tunnelit läbima, ei pea olema ainulaadne, ja selle teadmine vähendab ümbernumereerimise tööd.

Tehke IPv6 eraldi, sest selle plaan ja selle kattuvused on sõltumatud.

Võrrelge prefikse, mitte tuttavaid aadresse

Kaks erinevate hostiaadressidega võrku võivad siiski kattuda, sest kattumine on maskide omadus, mitte numbrite oma, mida inimesed mäletavad. 10.20.0.0/16 sisaldab 10.20.30.0/24, ükskõik kas keegi ütleb seda valjusti või mitte. Võrrelge täielikke prefiksipaare ja kontrollige agregaate nende sees olevate väiksemate võrkude vastu. Seepärast kuulub kontroll arvutustabelisse, mitte kellegi pähe.

Sama kontroll kehtib VPN-i enda kliendipooli ja iga tõlgitud vahemiku kohta, mida kavatsete kasutusele võtta, sest põrkuv tõlgitud vahemik on hullem kui algne kattumine.

Prefiksite ja maskide tabelist piisab; maskideta diagrammist mitte.

Otsustage, mis peab tegelikult läbima

Sait võib sisaldada kolmkümmend alamvõrku, samal ajal kui üks teenusevõrk vajab kaugjuurdepääsu. Alustage sellest nõudest ja kuulutage ainult seda, mida see vajab, sest väiksemaid kuulutusi ja sobivaid juurdepääsureegleid on lihtsam üle vaadata ja raskem kogemata laiendada. Iga kasutusel oleva privaatse vahemiku kuulutamine on harjumus, mis muudab tunneli sillaks. Mida kitsam kuulutus, seda väiksem on tulevase vea mõjuraadius.

Privaatne DNS peab tagastama aadressid, kuhu kavandatud kliendid pääsevad, nii et kuulutamata või kattuvale vahemikule osutav nimi jääb katki ka siis, kui päring õnnestub.

Kirjutage juurdepääsuloend enne tunneli konfiguratsiooni, mitte pärast selle ebaõnnestumist.

Numereerige ümber või tõlkige ja teadke kulu

Ühe võrgu ümbernumereerimine on tavaliselt selgeim pikaajaline lahendus ja see puudutab reserveeringuid, seadmeid, DNS-i, tulemüürireegleid ja kõike, mille konfiguratsiooni on aadress sisse kirjutatud. Juurdepääsuvahemiku tõlkimine on alternatiiv, kui ümbernumereerimine on ebapraktiline, ja see maksab allika identiteedi pluss protokolliklassi, mis põimivad aadressid kasulikku koormusse. Valige üks ja lõpetage see, sest pooleldi ümber numereeritud võrk on hullem kui kumbki valik.

Ükskõik mille valite, dokumenteerige nii algne kui ka esitatud aadress, sest iga hilisem tõrkeotsingu vestlus vajab neid.

Möödasõit ilma tagasiteeta ei ole möödasõit.

Kasutage marsruudimaatriksit vastuvõtutestina

Lõpetage maatriksiga: kohalik prefiks, kaugprefiks, lubatud teenus ja tagasilüüs. See tabel on vastuvõtutest, kui tunnel üles tuleb, ja see on ka dokument, mida järgmine insener loeb. Testige valitud alamvõrkude tegelikest hostidest, mitte lüüsidest.

Ping tunnelite aadresside vahel tõestab, et tunnel on olemas, ja mitte midagi selle taga oleva aadressiplaani kohta.

Hoidke maatriksit tunnelikonfiguratsiooni juures ja järgmine saidilisand algab andmetest, mitte mälust. strongSwan-i edastusjuhend katab lüüsi poole, kui plaan on olemas.