תכננו מראש טווחי כתובות VPN פרטיים לפני שהאתרים מתנגשים
טווחים פרטיים חופפים שוברים את הניתוב עוד לפני כל מנהרה. ערכו מלאי של הקידומות, תקצו מאגרי לקוחות בנפרד מרשתות ה-LAN של האתרים ובדקו מהצד המרוחק.
שני אתרים ששניהם משתמשים ב-192.168.1.0/24 יכולים כל אחד להגיע לאינטרנט ועדיין לא להגיע זה לזה. השער אינו מדווח על שגיאה; הוא מתקין מסלול אחד לקידומת הזו ושולח כל חבילה לעמית שתבע אותה ראשון. שום דבר בלחיצת היד, ברשימת הצפנים או במדד הממשק אינו אומר איזה עמית טועה. תכנון כתובות הוא החלק בתכנון שמכריע בזה לפני שמישהו מתחבר.
ערכו מלאי של כל מרחב שחייב להיות נגיש
רשמו את הטווחים שחייבים להיות מנותבים, לא רק אלה שאתם מגדירים. זה כולל רשתות LAN של אתרים, מאגרי לקוחות VPN, תת-רשתות בענן, רשתות ניהול ורשתות מחוץ לרצועה, מקטעי מעבדה והרשתות שמשתמשים מתחברים מהן בדרך כלל מהבית. נתב צרכני שמסופק כ-192.168.1.0/24 אינו היפותטי, ואותה קידומת מופיעה בבתי מלון ובמרכזי כנסים. המלאי הוא טבלה של קידומת, בעלים ומטרה, והוא המסמך היחיד שמונע מסירת אותו טווח פעמיים.
| Prefix | Purpose | Owner |
|---|---|---|
| 10.20.0.0/16 | site LANs | network team |
| 10.20.100.0/22 | VPN client pool | remote access |
| 10.20.200.0/24 | management | operations |
הוסיפו את הקידומות שאתם מצפים להן בשנה הקרובה, כי תוכנית שמכסה רק את היום נכשלת באתר החדש הראשון. סמנו בכל שורה מי יכול לשנות אותה, לא רק מי הבעלים שלה.
השימוש החוזר הוא מה שהופך את זה לקשה: המרחב הפרטי סופי וכל ארגון רואה ב-10.0.0.0/8 את שלו. תוכנית אינה יכולה להבטיח שרשת אורחים עתידית לא תנחת על אחת הקידומות שלכם, ולכן התכנון חייב לומר מה קורה כשזה קורה. שני כללים עושים את רוב העבודה. שימו את מאגרי הלקוחות בגוש רציף אחד שאפשר לסכם, ואל תקצו לעולם טווח שצוות אחר כבר מנתב. כל השאר הוא רשומה שמישהו שומר עדכנית.
למה חפיפה מנצחת את טבלת הניתוב
מסלול הוא קידומת ועוד קפיצה הבאה, וההעברה בוחרת את הקידומת התואמת הארוכה ביותר. כששני עמיתים תובעים את אותו 192.168.1.0/24, הטבלה מחזיקה רשומה אחת עבורו, ולכן התעבורה של שני האתרים יוצאת דרך אותה מנהרה. האתר השני אינו מוגדר שגוי; הוא בלתי נגיש מפני שהראשון עונה עבור אותן כתובות. שום מדד אינו יכול להפריד ביניהם, כי ההתאמה מתרחשת לפני שמתייעצים עם המדדים.
הכשל אינו סימטרי וקל לקרוא אותו לא נכון. מארחים באתר A מגיעים לשער ולחלק מהשירותים, בעוד שמארחי אתר B אינם עונים דבר, והיומן מראה מנהרה בריאה בשני הכיוונים. התבנית הזו היא התנגשות כתובות ולא תקלת אימות או חומת אש, ואישורה דורש שפיכת טבלה אחת בהשוואה למלאי.
תקצבו בכוונה את מאגר הלקוחות ואת טווחי האתרים
מאגר לקוחות VPN הוא טווח שהשער מחלק ממנו כתובת אחת בכל פעם, ולכן גודלו מגביל את מספר החיבורים במקביל. /24 מכיל 254 כתובות שמישות, שזה נדיב לצוות קטן וצר לסניף שמריץ מכולות; /22 אינו עולה דבר נוסף במרחב הפרטי ומסיר את הוויכוח. החזיקו את המאגר רציף ורחוק מכל רשת LAN של אתר, כדי שהמסלול המסוכם לכיוון הלקוחות לא יבלע אתר לעולם. הקצו את הטווח מראש גם כשהמאגר ריק, כי טווח שלא נרשם הוא זה שהמהנדס הבא יקצה.
אתרים מקבלים טווחים בגודל המתאים למארחים הצפויים בתוספת גדילה, מיושרים לגבול שמסתכם בצורה נקייה. פערים מכוונים בין הקצאות אינם עולים דבר וקונים מקום לאיחוד מאוחר יותר.
אחר כך בדקו את הכיוון שאנשים שוכחים: נתיב החזרה. כל נתב אתר זקוק למסלול אל מאגר הלקוחות, והמרכזן זקוק למסלול אל כל קידומת אתר שהוא משרת. טבלת קידומות מסודרת בלי נתיב חזרה למאגר היא עדיין תכנון שבור, והתסמין הוא חיבור חד-כיווני שאינו עונה דבר. החזיקו את שני הכיוונים באותה טבלה וסקרו אותה בכל פעם שנוסף אתר.
תרגום ומספור מחדש פותרים בעיות שונות
כשכבר קיימת חפיפה, יש שתי אפשרויות הוגנות ואחת לא הוגנת. מספור מחדש מסיר את ההתנגשות לתמיד ועולה בחלון תחזוקה ובכל כתובת מקודדת קשיח ששכחתם. תרגום כתובות ממפה את הטווח הפרטי של צד אחד לטווח אחר בקצה המנהרה, מה שמשאיר את שני האתרים ללא שינוי אבל מוסיף מצב, שובר פרוטוקולים שמטמיעים כתובות ומקשה על קריאת היומנים. האפשרות הלא הוגנת היא מסלול מארח לשרת אחד, שעובר בדיקה אחת ונכשל בכל השאר.
בחרו לפי שליטה ואורך חיים. אתר שאתם בעלים שלו ויכולים לתזמן אותו שייך למסלול המספור מחדש; רשת שותף שאינכם יכולים לגעת בה, המשמשת ליישום אחד, היא מועמדת לתרגום עם מיפוי מתועד. רשמו את המיפוי הזה, כי תרגום שקיים רק בתוך קובץ תצורה נעלם ברגע שהקובץ מוחלף.
בדקו מהצד המרוחק לפני פריסה
בדקו מרשת שאינה מארחת את השער, כי רשת ה-LAN של השער עצמו מסתירה את רוב שגיאות הניתוב. חברו לקוח מאחורי נתב ביתי רגיל, ואז הגיעו לשירות בכל אתר ואחד בתוך מאגר הלקוחות. בדקו גם את הכיוון ההפוך, ממארח אתר אל הלקוח, כי נתיבי חזרה נכשלים באופן עצמאי. בדיקה שרק עושה פינג לשער מוכיחה שהמנהרה פועלת ושום דבר יותר.
החזיקו טווחים, בעלים ומיפויי תרגום ברשומה משותפת אחת שהאתר הבא קורא לפני שהוא מקצה משהו. סקרו אותה כשנוסף אתר, והתייחסו לטווח לא מתועד כפגם ולא כהפתעה.
הרשומה היא התוצר. תוכנית שחיה בזיכרון של שלושה אנשים נכשלת בפעם הראשונה שאחד מהם בחופשה, וחפיפה שנמצאה בייצור עולה יותר ממה שהטבלה הייתה עולה.