Nola dimentsionatu helbide-espazioa guneen arteko VPN baterako

Galdetu zenbatekoa izan behar duen VPN azpisareak eta erantzun zintzoa da galderaren barruan lau azpisare desberdin egon daitezkeela. Gune VPN batek garraioko mutur-puntuak, zenbakitutako tunel estekak, babestutako LANaren aurrizkiak eta, kudeatutako ateetan, hornitzaileak gordetzen duen azpiegitura azpisare bat izan ditzake. Diseinu jakin batean horietako bat edo bi baino ez dira existitzen. Bulegoko gailuen kopurutik dimentsionatzea da plan bat inor asetzen ez duen /24 batekin amaitzeko modua.

Izenda itzazu lau rol horiek ezer esleitu aurretik

Garraioko mutur-puntuak bi ateak interneten edo zirkuitu pribatu baten bidez elkarrengana iristeko erabiltzen dituzten helbideak dira, eta haien kopurua atearen eta erredundantziaren eredutik dator, ez LANetik. Barne tunel estekak soilik existitzen dira diseinuak puntutik punturako interfaze bat zenbakitzen duen lekuetan, eta politikan oinarritutako IPsec konfigurazio batek normalean ez du hori egiten. Babestutako aurrizkiak bideragarriak izan behar duten bulego edo VPC sare errealak dira, eta hornitzaileak gordetako azpisarea kudeatutako zerbitzuaren parte da.

Inbentariatu lehendik dagoena ezer gehitu aurretik, hemen akats garestia beste nonbait bideratuta dagoen aurrizki bat berrerabiltzea baita. Proiektu pilotu bateko tunel zaharra nahikoa da plan bat pozoitzeko. Idatzi inbentarioa dataz, desmuntatutako esteka baten oroimena esteka bera baino gehiago irauten baitu.

ip -br addr show
ip route show | head -40

Bi komando horiek konektatutako sareen eta haien atzeko guztiara iristen diren bideen tokiko ikuspegia ematen dute. Errepikatu inbentarioa gune bakoitzean, gune bakar baten irteerarekin eraikitako plan batek hurrengoarekin talka egingo baitu. Bildu irteerak bloke bakarra esleitu aurretik.

Zenbatu estekak eta topologia, ez gailuak

Puntutik punturako zortzi auzotasun dituen diseinu batek zortzi bloke kontsumitzen ditu, ez bat. /30ean bloke bakoitzak lau helbide gastatzen ditu bi ostalari lotzeko, beraz planak hogeita hamabi helbide daramatza hamasei mutur erabilgarritarako, eta hori da aurrekontuak jasan behar duen zenbakia. /31 estekak onartzen dituen plataforma batek erdia gastatzen du, baina soilik bi muturrek eta zerbitzuak eredu horrekin bat egiten dutenean. Biribildu aurrekontua gorantz eta ez beherantz, bloke bat geroago txikitzeak esteka bizien berriz zenbakitzea esan nahi baitu.

Hornitzailearen murrizketek praktika orokorra gainditzen dute. Dokumentatutako barne tunel barruti batek /30 eska dezake zure bideratzaileetan /31 funtzionatzen duen lekuan ere, eta kudeatutako ate batek maskara zehatz bat eskatu dezake bere azpisarearentzat. Irakurri zerbitzuaren baldintza beste plataforma batetik mailegatutako erregela bat aplikatu aurretik.

Puntu anitzeko estaldura batek aritmetika berriz aldatzen du: helbide bat ate bakoitzeko, estaldurak haien arteko irisgarritasuna kudeatzen duelarik. Erabaki zein topologia erabiltzen duen benetan inplementazioak guneak bloke tamaina batez biderkatu aurretik.

Hazkuntzak bere lerroa merezi du planean. Azpiegitura-barruti koherente bat erreserbatzea zentzuzkoa da, eta baita bertan dauden esleipen txikiagoak zeintzuk diren erregistratzea ere, hurrengo ingeniariak erreserba igorpen-domeinu bakar gisa irakur ez dezan.

Eutsi atearen azpisarea LAN igerilekutik kanpo

Kudeatutako ate baten azpiegitura ez da bezeroen igerileku bat. Erreserbatutako ate azpisareko helbideek zerbitzuaren beraren osagaiak ostatatzen dituzte, eta urrutiko langileek ez dute inoiz horietatik hartzen. Azpisare hori erabiltzaile kopurutik dimentsionatzea kategoria akatsa da, barruti handia alferrik galtzen duena edo atea gosez uzten duena.

Hori bera gertatzen da hodeiko VPN konexioetako tunel barrutiekin, non hornitzaileak tunel bakoitzeko barne barruti txiki bat esleitzen duen bere erabilerarako. Barruti hori ez da zure bulegoko zerbitzariak dauden tokia, eta ez da zurea banatzeko.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Kanpo helbideak zerrendatzeak berresten du hornitzaileak zer esleitu zuen eta zein tunel erredundante dagoen aktibo oraintxe. Diseinu dokumentu bat, konexioa existitu aurretik idatzitakoa, irakurtzea baino azkarragoa da.

Erregistratu rola, jabea eta hazkuntza aurrizki bakoitzeko

Eragiketen kontaktua gainditzen duen plan batek, aurrizki bakoitzeko, zein rol betetzen duen, nork esleitzen duen urrutiko muturra eta zenbat tarte duen adierazten du. Jabearen eremurik gabe, bi taldek /24 bera esleitzen dute hiruhileko berean, eta talka tunela altxatzen denean baino ez da agertzen.

Eutsi barruti hauek etxeko eta bulegoko aurrizkietatik urrun, beste tunel batzuetatik iristen direnak, espazioaren gainjartzea ohiko arrazoia baita guneen arteko konexio batek arrakastaz negoziatu eta gero trafikoik pasatzen ez duenean.

Barne esteka helbideak esleitzeak ez ditu horien atzeko LANak iragartzen. Bideak edo trafiko hautatzaileak, itzulera-bideak eta sarbide arauak lan-elementu bereiziak dira, eta planak hori esan beharko luke interfaze zenbakitu batek bideratzea zure ordez egiten duela pentsarazi beharrean.