תכננו את תתי־הרשתות לפני VPN בין אתרים: מספרו מחדש או תרגמו

שני משרדים משתמשים שניהם ב-192.168.1.0/24 כי אף אחד לא תכנן אחרת, והמנהרה אמורה לפתור את זה. היא לא יכולה: נתב לא יכול לגרום לאותה כתובת פרטית לומר שני מקומות שונים. העבודה שמונעת זאת נעשית לפני שמקלידים את הפרמטר הראשון של המנהרה.

ערכו מלאי של כל טווח, כולל אלה ששכחתם

אספו את ה-LAN-ים, מקטעי השרתים, מאגרי לקוחות הגישה מרחוק, טווחי VPC בענן וכל רשת קונטיינרים או שכבתית שהמארחים צריכים להגיע אליה. מאגרי לקוחות הם אלה שאנשים שוכחים, והם חופפים לטווח משרדי לעתים מפתיעות כי שניהם נבחרו מאותו ברירת מחדל. כללו את רשת הניהול וכל מקטע מחוץ לפס.

רשמו בעלים, שער, מטרה והאם הקידומת חייבת להיות נגישה מהאתר השני. קידומת שמעולם לא צריכה לעבור במנהרה לא חייבת להיות ייחודית, וידיעה זו מפחיתה את עבודת המספור מחדש.

עשו IPv6 בנפרד, כי התוכנית והחפיפות שלו עצמאיות.

השוו קידומות, לא כתובות מוכרות

שתי רשתות עם כתובות מארח שונות עדיין יכולות לחפוף, כי חפיפה היא תכונה של מסכות ולא של המספרים שאנשים זוכרים. 10.20.0.0/16 מכילה את 10.20.30.0/24 בין אם מישהו אומר זאת בקול ובין אם לא. השוו זוגות קידומות מלאים, ובדקו אגרגטים מול הרשתות הקטנות שבתוכן. לכן הבדיקה שייכת לגיליון אלקטרוני ולא לראש של מישהו.

אותה בדיקה חלה על מאגר הלקוחות של ה-VPN עצמו ועל כל טווח מתורגם שאתם מתכננים להכניס, כי טווח מתורגם שמתנגש גרוע מהחפיפה המקורית.

טבלה של קידומות עם מסכות מספיקה; תרשים בלי מסכות לא.

החליטו מה באמת צריך לעבור

אתר עשוי להכיל שלושים תתי־רשתות בעוד שרשת שירות אחת זקוקה לגישה מרחוק. התחילו מהדרישה הזו והכריזו רק על מה שהיא צריכה, כי הכרזות קטנות יותר וכללי גישה תואמים קלים יותר לבדיקה וקשים יותר להרחבה בטעות. הכרזה על כל טווח פרטי בשימוש היא הרגל שהופך מנהרה לגשר. ככל שההכרזה צרה יותר, כך רדיוס ההשפעה של טעות עתידית קטן יותר.

DNS פרטי חייב להחזיר כתובות שלקוחות היעד יכולים להגיע אליהן, ולכן שם שמצביע על טווח לא מוכרז או חופף נשאר שבור גם כשהחיפוש מצליח.

כתבו את רשימת הגישה לפני תצורת המנהרה, לא אחרי שהיא נכשלה.

מספרו מחדש או תרגמו, ודעו את המחיר

מספור מחדש של רשת אחת הוא בדרך כלל הפתרון הברור לטווח ארוך, והוא נוגע בהזמנות, בהתקנים, ב-DNS, בכללי חומת אש ובכל דבר שכתובתו אפויה בתצורה. תרגום טווח גישה הוא החלופה כשמספור מחדש אינו מעשי, והוא עולה בזהות המקור ובמחלקת פרוטוקולים שמטמיעים כתובות במטען. בחרו אחד וסיימו אותו, כי רשת שממוספרת חצי היא גרועה משתי האפשרויות.

בכל בחירה שתבחרו, תעדו גם את הכתובת המקורית וגם את הכתובת המוצגת, כי כל שיחת פתרון תקלות מאוחרת זקוקה לשתיהן.

עקיפה בלי נתיב חזרה אינה עקיפה.

השתמשו במטריצת נתיבים כמבחן הקבלה

סיימו במטריצה: קידומת מקומית, קידומת מרוחקת, שירות מותר ושער חזרה. הטבלה הזו היא מבחן הקבלה כשהמנהרה עולה, והיא גם המסמך שהמהנדס הבא יקרא. בדקו ממארחים אמיתיים בתתי־הרשתות שנבחרו ולא מהשערים.

פינג בין כתובות מנהרה מוכיח שהמנהרה קיימת וכלום על תוכנית הכתובות שמאחוריה.

שמרו את המטריצה עם תצורת המנהרה, והוספת האתר הבאה תתחיל מנתונים ולא מזיכרון. מדריך ההעברה של strongSwan מכסה את צד השער ברגע שהתוכנית קיימת.