Plan subnetten foar in site-VPN: fernûmerje of oersette
Twa sites kinne itselde privee berik diele, en gjin tunnel lost dat op. Ynventarisearje prefiksen mei maskers, beslút wat oerstekt, en fernûmerje of set dan oer.
Twa kantoaren brûke beide 192.168.1.0/24 om’t nimmen oars pland hat, en fan de tunnel wurdt ferwachte dat er dat oplost. Dat kin er net: in router kin net itselde privee adres twa ferskillende plakken betsjutte litte. It wurk dat dat foarkomt bart foardat de earste tunnelparameter yntype wurdt.
Ynventarisearje elk berik, ek dy’t jo fergetten binne
Sammelje de LAN’s, serversegminten, klantpullen foar remote tagong, cloud-VPC-berikken en alle container- of overlay-netwurken dy’t hosts berikke moatte. Klantpullen binne dy’t minsken ferjitte, en se oerlapje ferrassend faak mei in kantoarberik om’t beide út deselde standertwearde keazen binne. Nimm it behear-netwurk en elk out-of-band-segmint op.
Registrearje eigner, gateway, doel en oft it prefiks fan de oare site berikber wêze moat. In prefiks dat nea troch de tunnel hoecht, hoecht net unyk te wêzen, en dat witten ferminderet it fernûmeringswurk.
Doch IPv6 apart, om’t syn plan en syn oerlapings ûnôfhinklik binne.
Fergelykje prefiksen, net bekende adressen
Twa netwurken mei ferskate hostadressen kinne noch altyd oerlapje, om’t oerlaap in eigenskip fan maskers is en net fan ’e nûmers dy’t minsken ûnthâlde. 10.20.0.0/16 befettet 10.20.30.0/24, itsij immen dat lûd seit of net. Fergelykje folsleine prefiksparen, en kontrolearje aggregaat tsjin de lytsere netwurken deryn. Dêrom heart de kontrôle yn in sprekblêd en net yn ien syn holle.
Deselde kontrôle jildt foar de eigen klantpul fan de VPN en foar elk oerset berik dat jo yntrodusearje wolle, om’t in oerset berik dat botsinget slimmer is as de oarspronklike oerlaap.
In tabel fan prefiksen mei maskers is genôch; in diagram sûnder maskers net.
Beslút wat eins oerstekke moat
In site kin tritich subnetten befetsje wylst ien tsjinstnetwurk remote tagong nedich hat. Begjin by dy eask en kundigje allinnich oan wat dat nedich hat, om’t lytsere oankundigings en bypassende tagongsregels makliker te kontrolearjen binne en hurder om by ûngelok te ferbreedzjen. Elk privee berik yn gebrûk oankundigje is in gewoante dy’t in tunnel yn in brêge feroaret. Hoe smeller de oankundiging, hoe lytser de ynfloed fan in takomstige flater.
Privee DNS moat adressen weromjaan dy’t de bedoelde klanten berikke kinne, dus in namme dy’t nei in net-oankundige of oerlapjend berik wiist bliuwt stikken sels as de opfraach slagje.
Skriuw de tagongslist foar de tunnelkonfiguraasje, net neidat dy mislearret.
Fernûmerje of set oer, en kenne de kosten
It fernûmerjen fan ien netwurk is meast de dúdlikste lange-termynoplossing, en it rekket reservearrings, apparaten, DNS, firewallregels en alles mei in adres yn in konfiguraasje bakt. It oersetten fan in tagongsberik is it alternative as fernûmerjen net praktysk is, en it kostet boarne-identiteit plus in klasse protokollen dy’t adressen yn payloads ynbêdzje. Kies ien en meitsje it dien, om’t in heal fernûmere netwurk slimmer is as beide opsjes.
Hokker jo ek kieze, dokumintearje sawol it oarspronklike as it presintearre adres, om’t elk letter probleemoplossingspetear se nedich hat.
In omwei sûnder weromwei is gjin omwei.
Brûk in rûtematrix as de akseptaasjetest
Einigje mei in matriks: lokaal prefiks, remote prefiks, tastien tsjinst en weromgateway. Dy tabel is de akseptaasjetest as de tunnel omheech komt, en it is ek it dokumint dat de folgjende yngenieur lêze sil. Test fan echte hosts op de keazen subnetten ynstee fan fan de gateways.
In ping tusken tunneladressen bewiist dat de tunnel bestiet en neat oer it adresplan derachter.
Hâld de matriks by de tunnelkonfiguraasje, en de folgjende site-tafoeging begjint fan data ynstee fan ûnthâld. De strongSwan-ynstruksje foar trochstjoeren beslacht de gateway-kant as it plan bestiet.