Suunnittele yksityiset VPN-osoiteavaruudet ennen kuin toimipaikat törmäävät

Kaksi toimipaikkaa, jotka molemmat käyttävät 192.168.1.0/24-verkkoa, voivat kumpikin tavoittaa internetin ja silti olla tavoittamatta toisiaan. Yhdyskäytävä ei ilmoita virhettä; se asentaa yhden reitin kyseiselle etuliitteelle ja lähettää jokaisen paketin sille vastapuolelle, joka vaati sitä ensimmäisenä. Mikään kättelyssä, salausluettelossa tai liitännän metriikassa ei kerro, kumpi vastapuoli on väärässä. Osoitesuunnittelu on se suunnittelun osa, joka ratkaisee tämän ennen kuin kukaan yhdistää.

Inventoi jokainen tila, jonka on oltava tavoitettavissa

Kirjoita muistiin alueet, jotka on reititettävä, ei vain niitä, joita olet konfiguroimassa. Se tarkoittaa toimipaikkojen lähiverkkoja, VPN-asiakaspoolia, pilven aliverkkoja, hallinta- ja kaistan ulkopuolisia verkkoja, laboratoriosegmenttejä ja verkkoja, joista käyttäjät tavallisesti yhdistävät kotoa. Kuluttajareititin, joka toimitetaan 192.168.1.0/24-osoitteella, ei ole hypoteettinen, ja sama etuliite esiintyy hotelleissa ja konferenssikeskuksissa. Inventaario on taulukko etuliitteestä, omistajasta ja käyttötarkoituksesta, ja se on ainoa artefakti, joka estää saman alueen jakamisen kahdesti.

Lisää etuliitteet, joita odotat seuraavan vuoden aikana, sillä vain tämän päivän kattava suunnitelma epäonnistuu ensimmäisessä uudessa toimipaikassa. Merkitse jokaiseen riviin, kuka voi muuttaa sitä, ei vain kuka sen omistaa.

Juuri uudelleenkäyttö tekee tästä vaikeaa: yksityinen tila on rajallinen ja jokainen organisaatio pitää 10.0.0.0/8-verkkoa omanaan. Suunnitelma ei voi luvata, ettei mikään tuleva vierasverkko osu jollekin etuliitteellesi, joten suunnittelun on sanottava, mitä tapahtuu kun osuu. Kaksi sääntöä tekee suurimman osan työstä. Sijoita asiakaspoolit yhteen yhtenäiseen lohkoon, jonka voit tiivistää, äläkä koskaan varaa aluetta, jota toinen tiimi jo reitittää. Kaikki muu on rekisteri, jota joku pitää ajan tasalla.

Miksi päällekkäisyys voittaa reititystaulukon

Reitti on etuliite plus seuraava hyppy, ja edelleenlähetys valitsee pisimmän täsmäävän etuliitteen. Kun kaksi vastapuolta vaatii molemmat 192.168.1.0/24-verkkoa, taulukossa on sille yksi merkintä, joten molempien toimipaikkojen liikenne lähtee samasta tunnelista. Toinen toimipaikka ei ole väärin konfiguroitu; se on tavoittamaton, koska ensimmäinen vastaa samoista osoitteista. Mikään metriikka ei voi erottaa niitä, koska osuma tapahtuu ennen kuin metriikoilta kysytään.

Vika on epäsymmetrinen ja helposti väärin luettava. Toimipaikan A isännät tavoittavat yhdyskäytävän ja joitakin palveluita, kun taas toimipaikan B isännät eivät vastaa mihinkään, ja loki näyttää terveen tunnelin molempiin suuntiin. Tämä kuvio on osoitteiden yhteentörmäys eikä todennuksen tai palomuurin vika, ja sen vahvistaminen vaatii yhden taulukon vedoksen inventaarioon verrattuna.

Mitoita asiakaspooli ja toimipaikkojen alueet tarkoituksella

VPN-asiakaspooli on alue, jota yhdyskäytävä jakaa yhden osoitteen kerrallaan, joten sen koko rajoittaa samanaikaisuutta. /24 sisältää 254 käyttökelpoista osoitetta, mikä on antelias pienelle tiimille ja tiukka konteja ajavalle sivukonttorille; /22 ei maksa yksityisessä tilassa mitään ylimääräistä ja poistaa väittelyn. Pidä pooli yhtenäisenä ja erossa jokaisesta toimipaikan lähiverkosta, jotta asiakkaita kohti menevä tiivistetty reitti ei koskaan niele toimipaikkaa. Varaa alue myös silloin, kun pooli on tyhjä, sillä kirjaamaton alue on se, jonka seuraava insinööri jakaa.

Toimipaikat saavat alueet, jotka mitoitetaan odotetuille isännille plus kasvulle ja kohdistetaan rajalle, joka tiivistyy siististi. Tarkoitukselliset aukot varausten välissä eivät maksa mitään ja ostavat tilaa myöhemmälle koostamiselle.

Tarkista sitten suunta, jonka ihmiset unohtavat: paluupolku. Jokainen toimipaikan reititin tarvitsee reitin asiakaspooliin, ja keskittimen on saatava reitti jokaiseen palvelemaansa toimipaikan etuliitteeseen. Siisti etuliitetaulukko ilman paluupolkua pooliin on edelleen rikki oleva suunnittelu, ja oire on yksisuuntainen yhteys, joka ei vastaa mihinkään. Pidä molemmat suunnat samassa taulukossa ja tarkista se aina, kun toimipaikka lisätään.

Käännös ja uudelleennumerointi ratkaisevat eri ongelmia

Kun päällekkäisyys on jo olemassa, on kaksi rehellistä vaihtoehtoa ja yksi epärehellinen. Uudelleennumerointi poistaa törmäyksen pysyvästi ja maksaa huoltokatkon sekä jokaisen kovakoodatun osoitteen, jonka unohdit. Osoitteenmuunnos kuvaa toisen puolen yksityisen alueen toiseen alueeseen tunnelin reunalla, mikä jättää molemmat toimipaikat koskemattomiksi mutta lisää tilaa, rikkoo osoitteita upottavat protokollat ja tekee lokeista vaikeammin luettavia. Epärehellinen vaihtoehto on isäntäreitti yhteen palvelimeen, joka läpäisee yhden testin ja epäonnistuu kaikessa muussa.

Valitse hallinnan ja eliniän mukaan. Toimipaikka, jonka omistat ja jonka voi aikatauluttaa, kuuluu uudelleennumeroinnin polulle; kumppaniverkko, johon et voi koskea ja jota käytetään yhteen sovellukseen, on ehdokas käännökseen dokumentoidulla kuvauksella. Kirjoita se kuvaus muistiin, sillä käännös, joka on olemassa vain konfiguraatiotiedoston sisällä, katoaa heti kun tiedosto korvataan.

Testaa kauemmalta puolelta ennen käyttöönottoa

Testaa verkosta, joka ei isännöi yhdyskäytävää, sillä yhdyskäytävän oma lähiverkko piilottaa useimmat reititysvirheet. Yhdistä asiakas tavallisen kotireitittimen taakse ja tavoita sitten palvelu jokaisessa toimipaikassa ja yksi asiakaspoolin sisällä. Testaa myös vastakkainen suunta, toimipaikan isännästä asiakkaaseen, sillä paluupolut epäonnistuvat itsenäisesti. Testi, joka vain pingaa yhdyskäytävää, todistaa tunnelin olevan pystyssä eikä mitään muuta.

Pidä alueet, omistajat ja käännöskuvaukset yhdessä jaetussa rekisterissä, jonka seuraava toimipaikka lukee ennen kuin varaa mitään. Tarkista se, kun toimipaikka lisätään, ja kohtele dokumentoimatonta aluetta vikana, älä yllätyksenä.

Rekisteri on toimitus. Suunnitelma, joka elää kolmen ihmisen muistissa, epäonnistuu ensimmäisen kerran kun yksi heistä on lomalla, ja tuotannossa löydetty päällekkäisyys maksaa enemmän kuin taulukko olisi maksanut.