Plan privee VPN-adresberikken foardat sites botsje
Oerlaapjende privee berikken brekke routing foar elke tunnel. Ynventarisearje de prefiksen, mjit kliïntpools apart fan site-LAN's en test fan 'e fiere kant.
Twa sites dy't beide 192.168.1.0/24 brûke, kinne elk it ynternet berikke en dochs inoar net berikke. De gateway smyt gjin flater; hy ynstallearret ien rûte foar dat prefiks en stjoert elk pakket nei dejinge dy't it it earst opeaske. Neat yn 'e hânskodding, de syferlist of de metryk fan 'e ynterface seit hokker partner ferkeard is. Adresplanning is it diel fan it ûntwerp dat dit beslist foardat immen ferbynt.
Ynventarisearje elke romte dy't berikber wêze moat
Skriuw de berikken del dy't rûte wurde moatte, net allinnich dy't jo konfigurearje. Dat betsjut site-LAN's, VPN-kliïntpools, cloud-subnetten, behear- en bûtenbânnetwurken, laboratoariumsegminten en de netwurken dêr't brûkers gewoanwei thús ferbine. In konsuminte-rûter dy't as 192.168.1.0/24 levere wurdt, is net hypotetysk, en itselde prefiks komt foar yn hotels en konferinsjesintra. De ynventaris is in tabel fan prefiks, eigner en doel, en it is it iennige artefakt dat tsjinkomt dat itselde berik twa kear útjûn wurdt.
| Prefix | Purpose | Owner |
|---|---|---|
| 10.20.0.0/16 | site LANs | network team |
| 10.20.100.0/22 | VPN client pool | remote access |
| 10.20.200.0/24 | management | operations |
Foegje de prefiksen ta dy't jo it kommende jier ferwachtsje, want in plan dat allinnich hjoed dekt, falt by de earste nije site. Markearje yn elke rigel wa't it feroarje kin, net allinnich wa't it besit.
It is it wergebrûk dat dit dreech makket: privee romte is beheind en elke organisaasje beskôget 10.0.0.0/8 as syn eigen. In plan kin net beloofje dat gjin takomstige gast-LAN op ien fan jo prefiksen lânje sil, dus it ûntwerp moat sizze wat der bart as it dat docht. Twa regels dogge it measte wurk. Set kliïntpools yn ien oaniensletten blok dat jo gearfetsje kinne, en tawize nea in berik dat in oar team al rûtet. Al it oare is in register dat immen aktueel hâldt.
Wêrom't in oerlaap de routingtabel ferslacht
In rûte is in prefiks plus in folgjende hop, en trochstjoeren kiest it langste oerienkommende prefiks. As twa partners beide 192.168.1.0/24 opeaskje, hâldt de tabel ien ynfier foar dat, sadat ferkear fan beide sites troch deselde tunnel útkomt. De twadde site is net ferkeard konfigurearre; hy is ûnberikber om't de earste foar deselde adressen antwurdet. Gjin metryk kin se skiede, om't de oerienkomst bart foardat metryken rieplachte wurde.
De flater is asymmetrysk en maklik ferkeard te lêzen. Hosts op site A berikke de gateway en guon tsjinsten, wylst hosts fan site B neat antwurdzje, en it logboek toant in sûne tunnel yn beide rjochtingen. Dat patroan is in adresbotsing en gjin flater yn autentikaasje of firewall, en om it te befêstigjen is ien tabeldumps nedich ferlike mei de ynventaris.
Mjit de kliïntpool en de site-berikken bewust
In VPN-kliïntpool is in berik dat de gateway ien adres tagelyk útjout, dus de grutte beheint de gelykheid. In /24 hâldt 254 brûkbere adressen, wat royaal is foar in lyts team en krap foar in filiaal dat containers draait; in /22 kostet neat ekstra yn privee romte en hellet de diskusje fuort. Hâld de pool oaniensletten en frij fan elke site-LAN, sadat de gearfette rûte nei kliïnten nea in site opslokt. Reservearje it berik sels wylst de pool leech is, want in ûnskreaun berik is it ien dat de folgjende yngenieur tawize sil.
Sites krije berikken grutte foar ferwachte hosts plus groei, rjochte op in grins dy't skjin gearfette. Bewuste gatten tusken tawizings kostet neat en keapet romte om letter te aggearjen.
Kontrolearje dan de rjochting dy't minsken ferjitte: de weromwei. Elke site-rûter hat in rûte nei de kliïntpool nedich, en de konsintrator hat in rûte nei elk site-prefiks dat er betsjinnet nedich. In kreaze prefikstabel sûnder wei werom nei de pool is noch hieltyd in brutsen ûntwerp, en it symptoom is in ienrjochtingferbining dy't neat antwurdet. Hâld beide rjochtingen yn deselde tabel en besjoch dy by elke nije site.
Oersetting en opnij nûmerje oplosse ferskillende problemen
As in oerlaap al bestiet, binne der twa earlike opsjes en ien ûnearlike. Opnij nûmerje hellet de botsing foar altyd fuort en kostet in ûnderhâldsfenster plus elk hurd kodearre adres dat jo fergetten binne. Adresoersetting mappet it privee berik fan ien kant nei in oar berik oan 'e tunnelrâne, wat beide sites ûnoantaaste lit mar steat tafoeget, protokollen brekt dy't adressen ynbêde, en logboeken dreger lêsber makket. De ûnearlike opsje is in hostrûte nei ien server, dy't ien test hellet en al it oare ferslacht.
Kies op kontrôle en libbensdoer. In site dy't jo besitte en planne kinne, heart op it paad fan opnij nûmerje; in partner-netwurk dat jo net oanreitsje kinne, brûkt foar ien applikaasje, is in kandidaat foar oersetting mei in dokumintearre mapping. Skriuw dy mapping del, want oersetting dy't allinnich yn in konfiguraasjebestân bestiet, ferdwynt op it stuit dat it bestân ferfongen wurdt.
Test fan 'e fiere kant foardat jo útrolle
Test fan in netwurk dat de gateway net húsfestet, want it eigen LAN fan 'e gateway ferberget de measte routingflaters. Ferbyn in kliïnt efter in gewoane thúsrûter en berik dan in tsjinst op elke site en ien binnen de kliïntpool. Test ek de tsjinoerstelde rjochting, fan in site-host nei de kliïnt, want weromwegen falle ûnôfhinklik. In test dy't allinnich de gateway pinget, bewiist dat de tunnel omheech is en neat mear.
Hâld berikken, eigners en oersettingsmappings yn ien dield register dat de folgjende site lêst foardat er eat tawijst. Besjoch it as in site tafoege wurdt, en behannelje in ûndokumintearre berik as in defekt ynstee fan in ferrassing.
It register is de levering. In plan dat yn 'e ûnthâld fan trije minsken libbet, falt de earste kear as ien fan har mei fakânsje is, en in oerlaap dy't yn produksje fûn wurdt, kostet mear as de tabel koste hawwe soe.