Näin mitoitat osoiteavaruuden sivustojen väliselle VPN:lle

Kysy, kuinka suuri VPN-aliverkon pitäisi olla, ja rehellinen vastaus on, että kysymyksessä voi olla neljä eri aliverkkoa. Sivuston VPN voi sisältää siirron päätepisteitä, numeroituja tunnelilinkkejä, suojatun lähiverkon etuliitteet ja hallituilla yhdyskäytävillä palveluntarjoajan varaaman infrastruktuurialiverkon. Niistä vain yksi tai kaksi on olemassa tietyssä suunnitelmassa. Niiden mitoittaminen toimiston laitemäärästä on tapa, jolla suunnitelma päätyy /24:ään, joka ei tyydytä ketään.

Nimeä neljä roolia ennen kuin jaat mitään

Siirron päätepisteet ovat osoitteita, joita kaksi yhdyskäytävää käyttää toistensa tavoittamiseen internetin tai yksityisen yhteyden yli, ja niiden määrä tulee yhdyskäytävä- ja redundanssimallista, ei lähiverkosta. Sisäisiä tunnelilinkkejä on vain siellä, missä suunnitelma numeroi pisteen välisen liitännän, mitä käytäntöperusteinen IPsec-kokoonpano ei yleensä tee. Suojatut etuliitteet ovat todellisia toimisto- tai VPC-verkkoja, joiden on oltava reititettäviä, ja palveluntarjoajan varaama aliverkko kuuluu hallittuun palveluun.

Kartoita olemassa oleva ennen kuin lisäät mitään, sillä kallis virhe tässä on käyttää uudelleen etuliitettä, joka on jo reititetty muualle. Pilottiprojektista jäänyt vanha tunneli riittää pilaamaan suunnitelman. Kirjoita kartoitus muistiin päivämäärineen, sillä muisto poistetusta linkistä elää pidempään kuin linkki itse.

ip -br addr show
ip route show | head -40

Nämä kaksi komentoa antavat paikallisen kuvan liitetyistä verkoista ja reiteistä, jotka tavoittavat kaiken niiden ulkopuolella. Toista kartoitus jokaisella sivustolla, sillä yhden sivuston tulosteesta rakennettu suunnitelma törmää seuraavan tulosteeseen. Kerää tulosteet ennen kuin jaat yhtään lohkoa.

Laske linkit ja topologia, älä laitteet

Suunnitelma, jossa on kahdeksan pisteen välistä naapuruutta, kuluttaa kahdeksan lohkoa, ei yhtä. Kohdassa /30 jokainen lohko kuluttaa neljä osoitetta kahden isännän yhdistämiseen, joten suunnitelma kantaa kolmekymmentäkaksi osoitetta kuudelletoista käyttökelpoiselle päätepisteelle, ja se on luku, jonka budjetin on kestettävä. /31-linkkejä tukeva alusta kuluttaa puolet, mutta vain kun molemmat päät ja palvelu sopivat mallista. Pyöristä budjetti ylöspäin, älä alaspäin, sillä lohkon pienentäminen myöhemmin tarkoittaa elävien linkkien uudelleennumeroimista.

Palveluntarjoajan rajoitukset voittavat yleisen käytännön. Dokumentoitu sisäinen tunnelialue voi vaatia /30:n myös siellä, missä /31 toimii reitittimissäsi, ja hallittu yhdyskäytävä voi vaatia tietyn peitteen omalle aliverkolleen. Lue palveluvaatimus ennen kuin sovellat toiselta alustalta lainattua nyrkkisääntöä.

Monipisteinen peittoverkko muuttaa laskutoimitusta jälleen: yksi osoite yhdyskäytävää kohden, ja peittoverkko hoitaa niiden välisen tavoitettavuuden. Päätä, mitä topologiaa toteutus todella käyttää, ennen kuin kerrot sivustot lohkokoolla.

Kasvu ansaitsee oman rivinsä suunnitelmassa. Yhtenäisen infrastruktuurialueen varaaminen on järkevää, samoin kuin sen kirjaaminen, mitkä pienemmät jaot ovat sen sisällä, jotta seuraava insinööri ei lue varausta yhtenä lähetysverkkona.

Pidä yhdyskäytävän aliverkko lähiverkon altaan ulkopuolella

Hallitun yhdyskäytävän infrastruktuuri ei ole asiakasallas. Varatun yhdyskäytäväaliverkon osoitteet isännöivät palvelun omia komponentteja, eivätkä etätyöntekijät koskaan ota niistä. Tuon aliverkon mitoittaminen käyttäjämäärästä on kategoriavirhe, joka joko tuhlaa suuren alueen tai näännyttää yhdyskäytävän.

Sama koskee pilvi-VPN-yhteyksien tunnelialueita, joissa palveluntarjoaja jakaa pienen sisäisen alueen tunnelia kohden omaan käyttöönsä. Se alue ei ole paikka, jossa sivukonttorin palvelimesi asuvat, eikä se ole sinun jaettavaksesi.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Ulkoisten osoitteiden listaaminen vahvistaa, mitä palveluntarjoaja jakoi ja mikä redundantti tunneli on juuri nyt aktiivinen. Se on nopeampaa kuin lukea suunnitteludokumenttia, joka kirjoitettiin ennen kuin yhteys oli olemassa.

Kirjaa rooli, omistaja ja kasvu jokaiselle etuliitteelle

Suunnitelma, joka kestää kosketuksen tuotantoon, kertoo jokaiselle etuliitteelle, mitä roolia se pelaa, kuka jakaa etäpään ja kuinka paljon liikkumavaraa siinä on. Ilman omistajakenttää kaksi tiimiä jakaa saman /24:n samalla vuosineljänneksellä, ja törmäys paljastuu vasta, kun tunneli nousee.

Pidä nämä alueet erossa koti- ja sivukonttorietuliitteistä, jotka saapuvat muiden tunnelien kautta, sillä päällekkäinen osoiteavaruus on tavallinen syy sille, että sivustojen välinen yhteys neuvottelee onnistuneesti ja jättää sitten liikenteen kulkematta.

Sisäisten linkkiosoitteiden jakaminen ei mainosta niiden takana olevia lähiverkkoja. Reitit tai liikenteen valitsimet, paluupolut ja käyttösäännöt ovat erillisiä työkohteita, ja suunnitelman pitäisi sanoa niin sen sijaan, että antaisi ymmärtää numeroidun liitännän hoitavan reitityksen puolestasi.