साइट-से-साइट VPN के लिए पता स्थान का आकार कैसे तय करें

पूछें कि VPN सबनेट कितनी बड़ी होनी चाहिए और ईमानदार जवाब यह है कि सवाल के अंदर चार अलग सबनेट हो सकते हैं। साइट VPN में ट्रांसपोर्ट एंडपॉइंट, क्रमांकित टनल लिंक, सुरक्षित LAN के प्रीफ़िक्स और प्रबंधित गेटवे पर प्रदाता द्वारा आरक्षित एक इंफ्रास्ट्रक्चर सबनेट शामिल हो सकते हैं। किसी दिए गए डिज़ाइन में इनमें से केवल एक या दो ही मौजूद होते हैं। इन्हें ऑफ़िस के डिवाइसों की संख्या से मापना वह रास्ता है जिस पर कोई योजना ऐसी /24 पर पहुँचती है जो किसी को संतुष्ट नहीं करती।

कुछ भी आवंटित करने से पहले चार भूमिकाओं के नाम रखें

ट्रांसपोर्ट एंडपॉइंट वे पते हैं जिन्हें दो गेटवे इंटरनेट या निजी सर्किट के ज़रिये एक-दूसरे तक पहुँचने के लिए इस्तेमाल करते हैं, और इनकी संख्या गेटवे और रिडंडेंसी मॉडल से आती है, LAN से नहीं। आंतरिक टनल लिंक केवल वहीं होते हैं जहाँ डिज़ाइन किसी पॉइंट-टू-पॉइंट इंटरफ़ेस को क्रमांकित करता है, जो नीति-आधारित IPsec कॉन्फ़िगरेशन आम तौर पर नहीं करता। सुरक्षित प्रीफ़िक्स वास्तविक ऑफ़िस या VPC नेटवर्क हैं जिन्हें रूट करने योग्य होना चाहिए, और प्रदाता द्वारा आरक्षित सबनेट प्रबंधित सेवा का हिस्सा है।

कुछ जोड़ने से पहले मौजूद चीज़ों की सूची बनाएँ, क्योंकि यहाँ महँगी गलती यह है कि ऐसे प्रीफ़िक्स का दोबारा उपयोग किया जाए जो पहले से कहीं और रूट हो रहा है। किसी पायलट परियोजना से पुरानी टनल एक योजना को खराब करने के लिए काफ़ी है। सूची तारीख़ों के साथ लिखें, क्योंकि हटाए गए लिंक की याद लिंक से ज़्यादा जीती है।

ip -br addr show
ip route show | head -40

ये दो कमांड जुड़े नेटवर्कों और उनसे आगे की हर चीज़ तक पहुँचने वाले रास्तों का स्थानीय दृश्य देते हैं। हर साइट पर सूची दोहराएँ, क्योंकि एक साइट के आउटपुट पर बनी योजना अगली साइट के आउटपुट से टकराएगी। एक भी ब्लॉक आवंटित करने से पहले आउटपुट इकट्ठा करें।

लिंक और टोपोलॉजी गिनें, डिवाइस नहीं

आठ पॉइंट-टू-पॉइंट पड़ोसियों वाला डिज़ाइन आठ ब्लॉक खाता है, एक नहीं। /30 पर हर ब्लॉक दो होस्ट जोड़ने के लिए चार पते खर्च करता है, इसलिए योजना सोलह उपयोगी एंडपॉइंट के लिए बत्तीस पते उठाती है, और यही वह संख्या है जिसे बजट सँभालना है। /31 लिंक का समर्थन करने वाला प्लेटफ़ॉर्म आधा खर्च करता है, लेकिन केवल तब जब दोनों सिरे और सेवा इस मॉडल पर सहमत हों। बजट को नीचे की बजाय ऊपर गोल करें, क्योंकि बाद में ब्लॉक छोटा करने का मतलब चालू लिंकों को फिर से क्रमांकित करना है।

प्रदाता की बाधाएँ सामान्य व्यवहार पर भारी पड़ती हैं। कोई दस्तावेज़ित आंतरिक टनल रेंज /30 माँग सकती है वहाँ भी जहाँ आपके राउटरों पर /31 काम करता है, और प्रबंधित गेटवे अपने सबनेट के लिए विशिष्ट मास्क माँग सकता है। किसी दूसरे प्लेटफ़ॉर्म से उधार लिया गया अंगूठे का नियम लागू करने से पहले सेवा की शर्त पढ़ें।

बहु-बिंदु ओवरले गणित को फिर बदल देता है: प्रति गेटवे एक पता, और उनके बीच पहुँच ओवरले सँभालता है। साइटों को ब्लॉक आकार से गुणा करने से पहले तय करें कि कार्यान्वयन वास्तव में कौन-सी टोपोलॉजी इस्तेमाल करता है।

विकास योजना में अपनी अलग पंक्ति का हक़दार है। सुसंगत इंफ्रास्ट्रक्चर रेंज आरक्षित करना उचित है, और यह दर्ज करना भी कि उसके अंदर कौन-से छोटे आवंटन हैं, ताकि अगला इंजीनियर इस आरक्षण को एक ही ब्रॉडकास्ट डोमेन न पढ़े।

गेटवे सबनेट को LAN पूल से बाहर रखें

प्रबंधित गेटवे का इंफ्रास्ट्रक्चर क्लाइंट पूल नहीं है। आरक्षित गेटवे सबनेट के पते सेवा के अपने घटकों को रखते हैं, और दूरस्थ कर्मचारी कभी उनसे नहीं लेते। उस सबनेट को उपयोगकर्ताओं की संख्या से मापना एक श्रेणीगत गलती है जो या तो बड़ी रेंज बर्बाद करती है या गेटवे को भूखा रखती है।

यही बात क्लाउड VPN कनेक्शनों की टनल रेंजों पर लागू होती है, जहाँ प्रदाता हर टनल के लिए अपने इस्तेमाल हेतु छोटी आंतरिक रेंज आवंटित करता है। वह रेंज वह जगह नहीं है जहाँ आपके शाखा सर्वर रहते हैं, और वह आपकी नहीं है कि उसे बाँटें।

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

बाहरी पतों को सूचीबद्ध करना पुष्टि करता है कि प्रदाता ने क्या आवंटित किया और कौन-सी अतिरिक्त टनल इस समय सक्रिय है। यह ऐसे डिज़ाइन दस्तावेज़ को पढ़ने से तेज़ है जो कनेक्शन के अस्तित्व से पहले लिखा गया था।

हर प्रीफ़िक्स के लिए भूमिका, स्वामी और विकास दर्ज करें

जो योजना संचालन के संपर्क में टिकती है वह हर प्रीफ़िक्स के लिए बताती है कि वह कौन-सी भूमिका निभाता है, दूर का सिरा कौन आवंटित करता है और कितनी गुंजाइश बची है। स्वामी फ़ील्ड के बिना दो टीमें एक ही तिमाही में एक ही /24 आवंटित करती हैं, और टकराव केवल तब सामने आता है जब टनल ऊपर उठती है।

इन रेंजों को घर और शाखा के उन प्रीफ़िक्स से दूर रखें जो दूसरी टनलों से आते हैं, क्योंकि जगह का ओवरलैप ही आम वजह है कि साइटों के बीच कनेक्शन सफलतापूर्वक बातचीत करता है और फिर कोई ट्रैफ़िक नहीं गुज़रने देता।

आंतरिक लिंक पते आवंटित करना उनके पीछे के LAN नेटवर्कों की घोषणा नहीं करता। रूट या ट्रैफ़िक सेलेक्टर, वापसी रास्ते और एक्सेस नियम अलग कार्य मदें हैं, और योजना को यह कहना चाहिए, बजाय यह सुझाने के कि कोई क्रमांकित इंटरफ़ेस आपके लिए रूटिंग कर देता है।