Como dimensionar o espazo de enderezos dunha VPN de sitio a sitio

Pregunte que tamaño debe ter a subrede da VPN e a resposta honesta é que dentro da pregunta poden caber catro subredes diferentes. Unha VPN de sitio pode implicar extremos de transporte, ligazóns de túnel numeradas, os prefixos da LAN protexida e, nas pasarelas xestionadas, unha subrede de infraestrutura que o provedor reserva. Nun deseño concreto só existen unha ou dúas desas. Dimensionalas a partir do número de dispositivos de oficina é como un plan acaba cunha /24 que non satisfai a ninguén.

Nomee os catro papeis antes de asignar nada

Os extremos de transporte son os enderezos que dúas pasarelas usan para chegar unha á outra por Internet ou por un circuíto privado, e o seu número vén do modelo de pasarela e redundancia, non da LAN. As ligazóns de túnel internas só existen onde o deseño numera unha interface punto a punto, algo que unha configuración IPsec baseada en políticas normalmente non fai. Os prefixos protexidos son as redes reais de oficina ou de VPC que deben ser encamiñables, e a subrede reservada polo provedor pertence ao servizo xestionado.

Inventarie o que xa existe antes de engadir algo, porque o erro caro aquí é reutilizar un prefixo que xa se encamiña noutro lugar. Un túnel esquecido dun proxecto piloto abonda para envelenar un plan. Anote o inventario con datas, porque a memoria dunha ligazón desmantelada sobrevive á propia ligazón.

ip -br addr show
ip route show | head -40

Eses dous comandos dan a vista local das redes conectadas e das rutas que chegan a todo o demais. Repita o inventario en cada sitio, porque un plan construído coa saída dun sitio colidirá coa do seguinte. Recolle as saídas antes de asignar un único bloque.

Conte ligazóns e topoloxía, non dispositivos

Un deseño con oito adxacencias punto a punto consome oito bloques, non un. En /30 cada bloque gasta catro enderezos para conectar dous hosts, así que o plan leva trinta e dous enderezos para dezaseis extremos utilizables, e esa é a cifra que o orzamento debe cubrir. Unha plataforma que admite ligazóns /31 gasta a metade, pero só cando ambos os extremos e o servizo coinciden nese modelo. Redondee o orzamento cara arriba e non cara abaixo, porque reducir un bloque despois obriga a renumerar ligazóns activas.

As restricións do provedor mandan sobre a práctica xeral. Un intervalo interno documentado pode esixir /30 mesmo onde /31 funciona nos seus routers, e unha pasarela xestionada pode esixir unha máscara concreta para a súa propia subrede. Lea o requisito do servizo antes de aplicar unha regra empírica tomada doutra plataforma.

Unha superposición multipunto cambia de novo a aritmética: un enderezo por pasarela, coa superposición encargándose da alcanzabilidade entre elas. Decida que topoloxía usa realmente a implementación antes de multiplicar sitios por un tamaño de bloque.

O crecemento merece a súa propia liña no plan. Reservar un intervalo de infraestrutura coherente é razoable, e tamén o é anotar que asignacións menores quedan dentro del, para que o seguinte enxeñeiro non lea a reserva como un único dominio de difusión.

Manteña a subrede de pasarela fóra do conxunto da LAN

A infraestrutura dunha pasarela xestionada non é un conxunto de clientes. Os enderezos dunha subrede de pasarela reservada aloxan os compoñentes do propio servizo, e os traballadores remotos nunca tiran deles. Dimensionar esa subrede a partir do número de usuarios é un erro de categoría que ou ben malgasta un intervalo grande ou ben deixa a pasarela sen enderezos.

O mesmo vale para os intervalos de túnel nas conexións VPN na nube, onde o provedor asigna un intervalo interno pequeno por túnel para o seu propio uso. Ese intervalo non é onde viven os servidores da filial, e non é seu para repartilo.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Listar os enderezos exteriores confirma o que asignou o provedor e que túnel redundante está activo neste momento. É máis rápido que ler un documento de deseño escrito antes de que existise a conexión.

Rexistre papel, propietario e crecemento para cada prefixo

Un plan que sobrevive ao contacto coa explotación declara, para cada prefixo, que papel desempeña, quen asigna o extremo remoto e canto marxe contén. Sen o campo de propietario, dous equipos asignan a mesma /24 no mesmo trimestre e a colisión só aparece cando se levanta o túnel.

Manteña estes intervalos lonxe dos prefixos domésticos e de filial que chegan por outros túneles, porque o solapamento de espazo é a razón habitual pola que unha conexión de sitio a sitio negocia con éxito e despois non pasa tráfico.

Asignar enderezos de ligazón internos non anuncia as LAN que están detrás. As rutas ou selectores de tráfico, os camiños de retorno e as regras de acceso son tarefas separadas, e o plan debería dicilo en lugar de suxerir que unha interface numerada fai o encamiñamento por vostede.