Kuidas mõõta saidi ja saidi vahelise VPN-i aadressiruumi

Küsige, kui suur peaks VPN-i alavõrk olema, ja aus vastus on, et küsimuses võib olla neli erinevat alavõrku. Saidi VPN võib hõlmata transpordi lõpp-punkte, nummerdatud tunnelilinke, kaitstud LAN-i prefikseid ja haldatud lüüsidel teenusepakkuja poolt reserveeritud infrastruktuuri alavõrku. Antud kavandis on neist olemas ainult üks või kaks. Nende mõõtmine kontori seadmete arvust on viis, kuidas kava jõuab /24-ni, mis ei rahulda kedagi.

Enne kui midagi jaotate, nimetage neli rolli

Transpordi lõpp-punktid on aadressid, mida kaks lüüsi kasutavad teineteiseni jõudmiseks üle interneti või privaatliini, ja nende arv tuleneb lüüsi ja liiasuse mudelist, mitte LAN-ist. Sisemised tunnelilingid on olemas ainult seal, kus kavand nummerdab punkt-punkti liidese, mida poliitikal põhinev IPsec-konfiguratsioon tavaliselt ei tee. Kaitstud prefiksid on tegelikud kontori- või VPC-võrgud, mis peavad olema marsruuditavad, ja teenusepakkuja reserveeritud alavõrk kuulub hallatud teenuse juurde.

Kaardistage olemasolev enne, kui midagi lisate, sest kallis viga on siin juba mujal marsruuditava prefiksi korduskasutamine. Pilootprojektist jäänud vana tunnel on küllaldane kava rikkumiseks. Kirjutage kaardistus kuupäevadega üles, sest lammutatud lingi mälestus elab kauem kui link ise.

ip -br addr show
ip route show | head -40

Need kaks käsku annavad kohaliku vaate ühendatud võrkudest ja marsruutidest, mis jõuavad kõigeni nende taga. Korrake kaardistust igas saidis, sest ühe saidi väljundi põhjal ehitatud kava põrkub järgmise omaga. Koguge väljundid enne, kui jaotate ühegi ploki.

Loendage linke ja topoloogiat, mitte seadmeid

Kaheksa punkt-punkti naabrusega kavand kulutab kaheksa plokki, mitte ühe. /30 juures kulutab iga plokk neli aadressi kahe hosti ühendamiseks, seega kannab kava kolmkümmend kaks aadressi kuueteistkümne kasutatava lõpp-punkti kohta ja see on arv, mida eelarve peab taluma. /31-linke toetav platvorm kulutab poole, kuid ainult siis, kui mõlemad otsad ja teenus selle mudeliga nõustuvad. Ümardage eelarvet pigem üles kui alla, sest ploki hilisem vähendamine tähendab töötavate linkide ümbernummerdamist.

Teenusepakkuja piirangud kaaluvad üldise tava üles. Dokumenteeritud sisemine tunnelivahemik võib nõuda /30 ka seal, kus /31 teie ruuteritel töötab, ja hallatud lüüs võib nõuda konkreetset maski oma alavõrgu jaoks. Lugege teenuse nõuet enne, kui rakendate teiselt platvormilt laenatud rusikareeglit.

Mitmepunktiline ülekate muudab arvutuse jälle: üks aadress lüüsi kohta, kusjuures ülekate haldab nendevahelist kättesaadavust. Otsustage, millist topoloogiat teostus tegelikult kasutab, enne kui korrutate saite ploki suurusega.

Kasv väärib kavas omaette rida. Ühtse infrastruktuurivahemiku reserveerimine on mõistlik, samuti kirja panemine, millised väiksemad jaotused selle sees on, et järgmine insener ei loeks reservatsiooni ühe leviedastusdomeenina.

Hoidke lüüsi alavõrk LAN-i basseinist väljas

Hallatud lüüsi infrastruktuur ei ole kliendibassein. Reserveeritud lüüsi alavõrgu aadressid majutavad teenuse enda komponente ja kaugtöötajad ei võta neist kunagi. Selle alavõrgu mõõtmine kasutajate arvust on kategooriaviga, mis kas raiskab suure vahemiku või näljutab lüüsi.

Sama kehtib pilve-VPN-ühenduste tunnelivahemike kohta, kus teenusepakkuja eraldab iga tunneli kohta väikese sisemise vahemiku oma tarbeks. See vahemik ei ole koht, kus elavad teie harukontori serverid, ja see ei ole teie jagada.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Väliste aadresside loetlemine kinnitab, mida teenusepakkuja eraldas ja milline varutunnel praegu aktiivne on. See on kiirem kui lugeda kavandamisdokumenti, mis kirjutati enne, kui ühendus oli olemas.

Kirjutage iga prefiksi kohta üles roll, omanik ja kasv

Kava, mis läbib kokkupuute käitusega, ütleb iga prefiksi kohta, millist rolli see mängib, kes eraldab kaugema otsa ja kui palju varu sellel on. Ilma omanikuväljata eraldavad kaks meeskonda samas kvartalis sama /24 ja kokkupõrge ilmneb alles siis, kui tunnel püsti tuleb.

Hoidke need vahemikud eemal kodu- ja harukontoriprefiksitest, mis saabuvad teiste tunnelite kaudu, sest kattuv aadressiruum on tavaline põhjus, miks saidi ja saidi vaheline ühendus läbiräägib edukalt ja siis ei lase läbi mingit liiklust.

Sisemiste lingiaadresside eraldamine ei kuuluta nende taga olevaid LAN-e. Marsruudid või liikluse valijad, tagasiteed ja juurdepääsureeglid on eraldi tööüksused ja kava peaks seda ütlema, selle asemel et vihjata, et nummerdatud liides teeb marsruutimise teie eest.