چگونه فضای نشانی یک VPN بین سایتها را اندازه‌گیری کنیم

بپرسید زیرشبکه VPN باید چقدر بزرگ باشد و پاسخ صادقانه این است که در دل پرسش ممکن است چهار زیرشبکه متفاوت باشد. VPN یک سایت می‌تواند نقاط پایانی انتقال، پیوندهای تونل شماره‌دار، پیشوندهای شبکه LAN محافظت‌شده و در دروازه‌های مدیریت‌شده یک زیرشبکه زیرساخت را که ارائه‌دهنده رزرو می‌کند در بر بگیرد. در یک طراحی مشخص تنها یکی یا دو مورد از آنها وجود دارد. اندازه‌گیری آنها از تعداد دستگاه‌های اداری همان راهی است که یک طرح به /24 می‌رسد که هیچ‌کس را راضی نمی‌کند.

پیش از تخصیص هر چیزی، چهار نقش را نام ببرید

نقاط پایانی انتقال نشانی‌هایی هستند که دو دروازه برای رسیدن به یکدیگر از طریق اینترنت یا یک مدار اختصاصی به کار می‌برند، و تعداد آنها از مدل دروازه و افزونگی می‌آید، نه از شبکه LAN. پیوندهای تونل داخلی فقط جایی وجود دارند که طراحی یک رابط نقطه‌به‌نقطه را شماره‌گذاری می‌کند، کاری که پیکربندی IPsec مبتنی بر سیاست معمولاً انجام نمی‌دهد. پیشوندهای محافظت‌شده شبکه‌های واقعی اداری یا VPC هستند که باید مسیریابی‌پذیر باشند، و زیرشبکه‌ای که ارائه‌دهنده رزرو می‌کند به سرویس مدیریت‌شده تعلق دارد.

پیش از افزودن هر چیزی، آنچه از قبل وجود دارد را فهرست کنید، زیرا خطای گران اینجا استفاده دوباره از پیشوندی است که پیش‌تر جای دیگری مسیریابی می‌شود. یک تونل قدیمی از یک پروژه آزمایشی برای خراب کردن یک طرح کافی است. فهرست را با تاریخ بنویسید، زیرا خاطره یک پیوند از رده خارج‌شده بیشتر از خود پیوند زنده می‌ماند.

ip -br addr show
ip route show | head -40

این دو فرمان نمای محلی شبکه‌های متصل و مسیرهایی را می‌دهند که به هر چیزی بیرون آنها می‌رسند. فهرست را در هر سایت تکرار کنید، زیرا طرحی که از خروجی یک سایت ساخته شود با خروجی سایت بعدی برخورد می‌کند. خروجی‌ها را پیش از تخصیص حتی یک بلوک جمع کنید.

پیوندها و توپولوژی را بشمارید، نه دستگاه‌ها را

طراحی با هشت همسایگی نقطه‌به‌نقطه هشت بلوک مصرف می‌کند، نه یکی. در /30 هر بلوک چهار نشانی را برای اتصال دو میزبان خرج می‌کند، پس طرح سی و دو نشانی برای شانزده نقطه پایانی قابل استفاده حمل می‌کند، و این همان عددی است که بودجه باید تحمل کند. سکویی که پیوندهای /31 را پشتیبانی می‌کند نیمی از آن را خرج می‌کند، اما تنها وقتی هر دو سر و سرویس با این مدل موافق باشند. بودجه را به بالا گرد کنید نه به پایین، زیرا کوچک کردن یک بلوک بعداً یعنی شماره‌گذاری دوباره پیوندهای فعال.

محدودیت‌های ارائه‌دهنده بر رویه عمومی مقدم است. یک محدوده تونل داخلی مستند ممکن است /30 بخواهد حتی جایی که /31 روی مسیریاب‌های شما کار می‌کند، و دروازه مدیریت‌شده ممکن است ماسک مشخصی برای زیرشبکه خود بخواهد. الزام سرویس را بخوانید پیش از آنکه قاعده‌ای سرانگشتی را از سکوی دیگری وام بگیرید.

لایه پوششی چندنقطه‌ای حساب را دوباره تغییر می‌دهد: یک نشانی به ازای هر دروازه، و لایه پوششی دسترسی میان آنها را بر عهده می‌گیرد. تصمیم بگیرید پیاده‌سازی واقعاً از کدام توپولوژی استفاده می‌کند، پیش از آنکه سایت‌ها را در اندازه بلوک ضرب کنید.

رشد سطر خودش را در طرح می‌طلبد. رزرو یک محدوده زیرساخت به‌هم‌پیوسته معقول است، و همچنین ثبت اینکه کدام تخصیص‌های کوچک‌تر درون آن قرار دارند، تا مهندس بعدی این رزرو را به‌عنوان یک دامنه پخش واحد نخواند.

زیرشبکه دروازه را بیرون از استخر شبکه LAN نگه دارید

زیرساخت دروازه مدیریت‌شده استخر مشتری نیست. نشانی‌های یک زیرشبکه رزروشده دروازه میزبان اجزای خود سرویس هستند و کارکنان دورکار هرگز از آنها برنمی‌دارند. اندازه‌گیری آن زیرشبکه از تعداد کاربران خطای مقوله‌ای است که یا محدوده‌ای بزرگ را هدر می‌دهد یا دروازه را گرسنه می‌گذارد.

همین امر درباره محدوده‌های تونل در اتصالات VPN ابری صدق می‌کند، جایی که ارائه‌دهنده به ازای هر تونل محدوده‌ای کوچک داخلی برای استفاده خودش تخصیص می‌دهد. آن محدوده جایی نیست که سرورهای شعبه شما زندگی می‌کنند، و مال شما نیست که آن را پخش کنید.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

فهرست کردن نشانی‌های بیرونی تأیید می‌کند ارائه‌دهنده چه تخصیص داده و کدام تونل افزونه اکنون فعال است. این سریع‌تر از خواندن سند طراحی‌ای است که پیش از وجود اتصال نوشته شده.

نقش، مالک و رشد را برای هر پیشوند ثبت کنید

طرحی که از برخورد با بهره‌برداری جان سالم به در می‌برد، برای هر پیشوند می‌گوید چه نقشی دارد، چه کسی سر دور را تخصیص می‌دهد و چه مقدار حاشیه دارد. بدون فیلد مالک، دو تیم در یک فصل یک /24 را تخصیص می‌دهند و برخورد تنها هنگام بالا آمدن تونل آشکار می‌شود.

این محدوده‌ها را از پیشوندهای خانه و شعبه که از تونل‌های دیگر می‌آیند دور نگه دارید، زیرا هم‌پوشانی فضا دلیل معمول موفقیت مذاکره یک اتصال بین سایت‌ها و سپس عبور نکردن هیچ ترافیکی است.

تخصیص نشانی‌های پیوند داخلی شبکه‌های LAN پشت آنها را اعلام نمی‌کند. مسیرها یا انتخابگرهای ترافیک، مسیرهای بازگشت و قواعد دسترسی اقلام کاری جداگانه‌اند، و طرح باید این را بگوید نه آنکه القا کند یک رابط شماره‌دار مسیریابی را به‌جای شما انجام می‌دهد.