Hoe’t adresromte foar in side-nei-side-VPN te bemiten

Freegje hoe grut it VPN-subnet wêze moat en it earlike antwurd is dat der fjouwer ferskillende subnetten yn ’e fraach sitte kinne. In side-VPN kin transporteinpunten, nûmere tunnelferbiningen, de beskerme LAN-prefiksen en, op beheardere gateways, in ynfrastruktuer-subnet omfetsje dat de oanbieder reservearret. Yn in beskaat ûntwerp besteane dêr mar ien of twa fan. Se mjitse út it oantal kantoarapparaten is hoe’t in plan einiget mei in /24 dy’t nimmen tefreden stelt.

Nammeneat de fjouwer rollen foardat jo wat tawize

Transporteinpunten binne de adressen dy’t twa gateways brûke om elkoar te berikken oer it ynternet of in partikuliere ferbining, en har oantal komt út it gateway- en redundantymodel, net út ’e LAN. Ynterne tunnelferbiningen besteane allinnich dêr’t it ûntwerp in punt-nei-punt-ynterface nûmeret, wat in op belied basearre IPsec-konfiguraasje meastentiids net docht. Beskerme prefiksen binne de echte kantoar- of VPC-netwurken dy’t rûtber wêze moatte, en it troch de oanbieder reservearre subnet heart by de beheardere tsjinst.

Ynventarissearje wat al bestiet foardat jo wat tafoegje, want de djoere flater hjir is in prefiks werbrûke dat al earne oars rût wurdt. In âlde tunnel út in proefprojekt is genôch om in plan te fergiftigjen. Skriuw de ynventarisaasje mei datums del, want de oantins oan in ôfbrutsen ferbining libbet langer as de ferbining sels.

ip -br addr show
ip route show | head -40

Dy twa opdrachten jouwe it lokale byld fan ferbûne netwurken en fan ’e rûtes dy’t alles dêrbûten berikke. Werhelje de ynventarisaasje op elk side, want in plan boud op ’e útfier fan ien side sil botsen mei dy fan ’e folgjende. Sammelje de útfieren foardat jo ien blok tawize.

Tel ferbiningen en topology, net apparaten

In ûntwerp mei acht punt-nei-punt-buorren ferbrûkt acht blokken, net ien. By /30 fertsjinnet elk blok fjouwer adressen om twa hosts te ferbinen, dus it plan draacht twatritich adressen foar sechstjin brûkbere einpunten, en dat is it sifer dat it budzjet hâlde moat. In platfoarm dat /31-ferbiningen stipet, ferbrûkt de helte, mar allinnich as beide einen en de tsjinst it iens binne oer dat model. Rûn it budzjet op ynstee fan del, want in blok letter ferlytsje betsjut libbene ferbiningen wer nûmerje.

Beheiningen fan ’e oanbieder winne fan algemien praktyk. In dokumintearre ynterne tunnelberik kin /30 freegje sels dêr’t /31 op jo routers wurket, en in beheardere gateway kin in beskate masker foar syn eigen subnet easkje. Lês de tsjinstferplichting foardat jo in thumbregel tapasse dy’t fan in oar platfoarm liend is.

In multypunt-oerlaach feroaret de rekkenjen wer: ien adres per gateway, wêrby’t de oerlaach de berikberens tusken harren docht. Beskiede hokker topology de ymplemintaasje echt brûkt foardat jo siden mei in blokgrutte fermannichfâldigje.

Groei fertsjinnet syn eigen rigel yn it plan. In gearhingjend ynfrastruktuerberik reservearje is ridlik, en ek fêstlizze hokker lytsere tawizings dêryn sitte, sadat de folgjende yngenieur de reservearring net as ien útstjoerdomein lêst.

Hâld it gateway-subnet bûten de LAN-pool

De ynfrastruktuer fan in beheardere gateway is gjin kliïntepool. De adressen yn in reservearre gateway-subnet húsfestje de eigen komponinten fan ’e tsjinst, en fjildwurkers helje dêr nea út. Dat subnet út it oantal brûkers bemitse is in kategoryflater dy’t of in grut berik fergriemt of de gateway hongerje lit.

Itselde jildt foar tunnelberikken op cloud-VPN-ferbiningen, dêr’t de oanbieder per tunnel in lyts yntern berik foar eigen gebrûk tawiist. Dat berik is net dêr’t jo filiaaltsjinners wenje, en it is net oan jo om it út te dielen.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

De bûtenadressen listje befêstiget wat de oanbieder tawiisd hat en hokker reservearjende tunnel no aktyf is. It is flugger as in ûntwerpdokumint lêze dat skreaun is foardat de ferbining bestie.

Fêstlizze rol, eigner en groei foar elk prefiks

In plan dat it kontakt mei de operaasje oerlibbet, seit foar elk prefiks hokker rol it spilet, wa’t it fiere ein tawiist en hoefolle romte it hat. Sûnder it eignerfjild tawize twa teams itselde /24 yn itselde kwartaal, en de botsing docht him pas foar as de tunnel omheech komt.

Hâld dizze berikken frij fan hûs- en filiaalprefiksen dy’t fia oare tunnels binnenkomme, want oerlapjende adresromte is de gewoane reden dat in ferbining tusken siden mei súkses ûnderhannelt en dêrnei gjin ferkear trochlitte.

It tawizen fan ynterne ferbiningsadressen kundiget de LAN’s dêrefter net oan. Rûtes of ferkearsselektearders, weromrûtes en tagongsregels binne aparte wurkitems, en it plan moat dat sizze ynstee fan te suggerearjen dat in nûmere ynterface it rûtjen foar jo docht.