پیش از VPN سایت، زیرشبکه‌ها را برنامه‌ریزی کنید: شماره‌گذاری مجدد یا ترجمه
دو سایت می‌توانند محدوده خصوصی یکسانی داشته باشند و هیچ تونلی آن را درست نمی‌کند. پیشوندها را با ماسک فهرست کنید، تصمیم بگیرید چه چیزی عبور می‌کند، سپس شماره‌گذاری مجدد یا ترجمه کنید.
دو دفتر هر دو از 192.168.1.0/24 استفاده می‌کنند چون هیچ‌کس طور دیگری برنامه‌ریزی نکرده بود، و انتظار می‌رود تونل آن را حل کند. نمی‌تواند: یک مسیریاب نمی‌تواند کاری کند که همان نشانی خصوصی به دو مکان متفاوت اشاره کند. کاری که از این جلوگیری می‌کند پیش از تایپ اولین پارامتر تونل انجام می‌شود.
همه محدوده‌ها را فهرست کنید، از جمله آن‌هایی که فراموش کرده‌اید
شبکه‌های محلی، بخش‌های سرور، استخرهای کلاینت دسترسی از راه دور، محدوده‌های VPC ابری و هر شبکه کانتینری یا لایه‌ای را که میزبان‌ها باید به آن برسند جمع کنید. استخرهای کلاینت همان‌هایی هستند که مردم فراموش می‌کنند، و به‌طور شگفت‌انگیزی اغلب با محدوده یک دفتر همپوشانی دارند چون هر دو از یک مقدار پیش‌فرض انتخاب شده‌اند. شبکه مدیریت و هر بخش خارج از باند را هم وارد کنید.
مالک، دروازه، هدف و اینکه آیا پیشوند باید از سایت دیگر قابل دسترسی باشد را ثبت کنید. پیشوندی که هرگز لازم نیست از تونل عبور کند نیازی به یکتا بودن ندارد، و دانستن این موضوع کار شماره‌گذاری مجدد را کم می‌کند.
IPv6 را جداگانه انجام دهید، چون برنامه و همپوشانی‌های آن مستقل است.
پیشوندها را مقایسه کنید، نه نشانی‌های آشنا
دو شبکه با نشانی‌های میزبان متفاوت باز هم می‌توانند همپوشانی داشته باشند، چون همپوشانی ویژگی ماسک‌ها است نه اعدادی که مردم به یاد می‌آورند. 10.20.0.0/16 شامل 10.20.30.0/24 است، چه کسی بلند بگوید چه نگوید. جفت‌های کامل پیشوند را مقایسه کنید و تجمیع‌ها را با شبکه‌های کوچک‌تر درونشان بسنجید. به همین دلیل این بررسی جای‌اش در صفحه‌گسترده است نه در ذهن کسی.
همین بررسی برای استخر کلاینت خود VPN و هر محدوده ترجمه‌شده‌ای که قصد معرفی‌اش را دارید هم صدق می‌کند، چون محدوده ترجمه‌شده‌ای که تصادم کند بدتر از همپوشانی اولیه است.
جدولی از پیشوندها با ماسک کافی است؛ نموداری بدون ماسک کافی نیست.
تصمیم بگیرید واقعاً چه چیزی باید عبور کند
یک سایت می‌تواند سی زیرشبکه داشته باشد در حالی که یک شبکه سرویس به دسترسی از راه دور نیاز دارد. از همان نیاز شروع کنید و فقط چیزی را اعلام کنید که لازم دارد، چون اعلام‌های کوچک‌تر و قواعد دسترسی منطبق آسان‌تر بازبینی می‌شوند و سخت‌تر به‌طور تصادفی گسترده می‌شوند. اعلام هر محدوده خصوصی در حال استفاده عادتی است که تونل را به پل تبدیل می‌کند. هرچه اعلام باریک‌تر، شعاع اثر خطای آینده کوچک‌تر.
DNS خصوصی باید نشانی‌هایی برگرداند که کلاینت‌های موردنظر بتوانند به آن برسند، پس نامی که به محدوده اعلام‌نشده یا همپوشان اشاره می‌کند حتی وقتی جست‌وجو موفق شود خراب می‌ماند.
فهرست دسترسی را پیش از پیکربندی تونل بنویسید، نه بعد از شکست آن.
شماره‌گذاری مجدد یا ترجمه کنید و هزینه را بدانید
شماره‌گذاری مجدد یک شبکه معمولاً روشن‌ترین راه‌حل بلندمدت است و رزروها، دستگاه‌ها، DNS، قواعد دیوار آتش و هر چیزی را که نشانی‌اش در پیکربندی پخته شده لمس می‌کند. ترجمه یک محدوده دسترسی جایگزین است وقتی شماره‌گذاری مجدد عملی نیست، و هزینه‌اش هویت مبدأ به‌علاوه دسته‌ای از پروتکل‌ها است که نشانی‌ها را در بار خود جای می‌دهند. یکی را انتخاب کنید و تمامش کنید، چون شبکه نیمه‌شماره‌گذاری‌شده بدتر از هر دو گزینه است.
هر کدام را که انتخاب کنید، هم نشانی اصلی و هم نشانی ارائه‌شده را مستند کنید، چون هر گفت‌وگوی عیب‌یابی بعدی به هر دو نیاز دارد.
راه‌حل موقت بدون مسیر بازگشت راه‌حل موقت نیست.
از ماتریس مسیر به‌عنوان آزمون پذیرش استفاده کنید
با یک ماتریس تمام کنید: پیشوند محلی، پیشوند راه دور، سرویس مجاز و دروازه بازگشت. آن جدول آزمون پذیرش هنگام بالا آمدن تونل است و همان سندی است که مهندس بعدی خواهد خواند. از میزبان‌های واقعی در زیرشبکه‌های انتخاب‌شده آزمایش کنید نه از دروازه‌ها.
پینگ بین نشانی‌های تونل ثابت می‌کند تونل وجود دارد و هیچ چیز درباره طرح نشانی پشت آن.
ماتریس را همراه پیکربندی تونل نگه دارید تا افزودن سایت بعدی از داده شروع شود نه از حافظه. راهنمای ارسال strongSwan پس از وجود طرح، سمت دروازه را پوشش می‌دهد.