Suunnittele aliverkot ennen toimipaikka-VPN:ää: numeroi uudelleen tai käännä

Kaksi toimistoa käyttävät molemmat osoitetta 192.168.1.0/24, koska kukaan ei suunnitellut toisin, ja tunnelin odotetaan hoitavan asian. Se ei voi: reititin ei voi saada samaa yksityistä osoitetta tarkoittamaan kahta eri paikkaa. Työ, joka estää tämän, tehdään ennen kuin ensimmäinen tunneliparametri kirjoitetaan.

Inventoi jokainen alue, myös ne jotka unohdit

Kerää lähiverkot, palvelinsegmentit, etäkäytön asiakaspoolit, pilven VPC-alueet ja kaikki kontti- tai overlay-verkot, joihin isäntien on päästävä. Asiakaspoolit ovat niitä, jotka ihmiset unohtavat, ja ne menevät yllättävän usein päällekkäin toimistoalueen kanssa, koska molemmat valittiin samasta oletusarvosta. Sisällytä hallintaverkko ja mikä tahansa kaistan ulkopuolinen segmentti.

Kirjaa omistaja, yhdyskäytävä, tarkoitus ja se, onko etuliitteen oltava tavoitettavissa toisesta toimipaikasta. Etuliitteen, jonka ei koskaan tarvitse ylittää tunnelia, ei tarvitse olla ainutlaatuinen, ja sen tietäminen vähentää uudelleennumeroinnin työtä.

Tee IPv6 erikseen, koska sen suunnitelma ja sen päällekkäisyydet ovat riippumattomia.

Vertaa etuliitteitä, älä tuttuja osoitteita

Kaksi verkkoa, joilla on eri isäntäosoitteet, voivat silti mennä päällekkäin, koska päällekkäisyys on maskien ominaisuus eikä ihmisten muistamien numeroiden. 10.20.0.0/16 sisältää osoitteen 10.20.30.0/24 riippumatta siitä, sanooko joku sen ääneen. Vertaa kokonaisia etuliitepareja ja tarkista koosteet niiden sisällä olevia pienempiä verkkoja vastaan. Siksi tarkistus kuuluu taulukkolaskentaan eikä kenenkään päähän.

Sama tarkistus koskee VPN:n omaa asiakaspoolia ja mitä tahansa käännettyä aluetta, jonka aiot ottaa käyttöön, koska törmäävä käännetty alue on pahempi kuin alkuperäinen päällekkäisyys.

Taulukko etuliitteistä ja maskeista riittää; kaavio ilman maskeja ei.

Päätä, mikä oikeasti täytyy ylittää

Toimipaikassa voi olla kolmekymmentä aliverkkoa, kun taas yksi palveluverkko tarvitsee etäkäyttöä. Lähde tästä vaatimuksesta ja ilmoita vain se, mitä se tarvitsee, koska pienemmät ilmoitukset ja niitä vastaavat käyttösäännöt on helpompi tarkistaa ja vaikeampi vahingossa laajentaa. Jokaisen käytössä olevan yksityisen alueen ilmoittaminen on tapa, joka muuttaa tunnelin sillaksi. Mitä kapeampi ilmoitus, sitä pienempi tulevan virheen vaikutussäde.

Yksityisen DNS:n on palautettava osoitteita, joihin aiottu asiakkaat pääsevät, joten nimeen, joka osoittaa ilmoittamattomaan tai päällekkäiseen alueeseen, jää rikki, vaikka haku onnistuisi.

Kirjoita käyttöluettelo ennen tunnelin kokoonpanoa, älä sen epäonnistumisen jälkeen.

Numeroi uudelleen tai käännä, ja tiedä kustannus

Yhden verkon uudelleennumerointi on yleensä selkein pitkän aikavälin ratkaisu, ja se koskee varauksia, laitteita, DNS:ää, palomuurisääntöjä ja kaikkea, jossa osoite on leivottu kokoonpanoon. Käyttöalueen kääntäminen on vaihtoehto silloin, kun uudelleennumerointi ei ole käytännöllistä, ja se maksaa lähdeidentiteetin sekä luokan protokollia, jotka upottavat osoitteita hyötykuormiin. Valitse yksi ja vie se loppuun, koska puoliksi uudelleennumeroitu verkko on pahempi kuin kumpikaan vaihtoehto.

Kumman valitsetkin, dokumentoi sekä alkuperäinen että esitetty osoite, koska jokainen myöhempi vianmäärityskeskustelu tarvitsee ne.

Ratkaisu ilman paluureittiä ei ole ratkaisu.

Käytä reittimatriisia hyväksymistestinä

Lopeta matriisiin: paikallinen etuliite, etäetuliite, sallittu palvelu ja paluuyhdyskäytävä. Tämä taulukko on hyväksymistesti, kun tunneli nousee, ja se on myös asiakirja, jonka seuraava insinööri lukee. Testaa valittujen aliverkkojen oikeilta isänniltä, älä yhdyskäytäviltä.

Ping tunneliosoitteiden välillä todistaa, että tunneli on olemassa, eikä mitään sen takana olevasta osoitesuunnitelmasta.

Pidä matriisi tunnelin kokoonpanon kanssa, ja seuraava toimipaikan lisäys alkaa tiedoista eikä muistista. Kun suunnitelma on olemassa, strongSwanin edelleenlähetysopas kattaa yhdyskäytävän puolen.