Planirajte privatne VPN adresne raspone prije nego se lokacije sudare

Dvije lokacije koje obje koriste 192.168.1.0/24 mogu svaka doći do interneta i ipak ne mogu doći jedna do druge. Pristupnik ne prijavljuje grešku; on instalira jednu rutu za taj prefiks i šalje svaki paket onom partneru koji ga je prvi zatražio. Ništa u rukovanju, popisu šifri ni metrici sučelja ne kaže koji partner nije u pravu. Planiranje adresa je dio dizajna koji to rješava prije nego se bilo tko poveže.

Popišite svaki prostor koji mora biti dostupan

Zapišite raspone koje treba usmjeravati, ne samo one koje konfigurirate. To znači lokalne mreže lokacija, klijentske bazene VPN-a, cloud podmreže, mreže za upravljanje i one izvan pojasa, laboratorijske segmente i mreže s kojih se korisnici redovito povezuju od kuće. Potrošački usmjerivač koji se isporučuje kao 192.168.1.0/24 nije hipotetski, a isti se prefiks pojavljuje u hotelima i konferencijskim dvoranama. Popis je tablica prefiksa, vlasnika i namjene i jedini je artefakt koji sprječava da se isti raspon dodijeli dvaput.

Dodajte prefikse koje očekujete tijekom sljedeće godine, jer plan koji pokriva samo danas pada na prvoj novoj lokaciji. Označite u svakom retku tko ga može mijenjati, ne samo tko ga posjeduje.

Ponovna uporaba je ono što ovo čini teškim: privatni je prostor konačan i svaka organizacija 10.0.0.0/8 smatra svojim. Plan ne može obećati da gostujuća mreža neće sletjeti na jedan od vaših prefiksa, pa dizajn mora reći što se dogodi kad se to dogodi. Dva pravila rade većinu posla. Stavite klijentske bazene u jedan susjedni blok koji možete sažeti i nikada ne dodjeljujte raspon koji drugi tim već usmjerava. Sve ostalo je zapis koji netko održava ažurnim.

Zašto preklapanje pobjeđuje tablicu usmjeravanja

Ruta je prefiks plus sljedeći skok, a prosljeđivanje bira najdulji prefiks koji se podudara. Kada dva partnera oba traže 192.168.1.0/24, tablica drži jedan zapis za njega, pa promet za obje lokacije izlazi kroz isti tunel. Druga lokacija nije pogrešno konfigurirana; ona je nedostupna jer prva odgovara za iste adrese. Nijedna metrika ne može ih razdvojiti, jer se podudaranje događa prije nego se metrike konzultiraju.

Kvar je asimetričan i lako se pogrešno pročita. Hostovi na lokaciji A dosežu pristupnik i neke servise, dok hostovi lokacije B ne odgovaraju ništa, a zapis pokazuje zdrav tunel u oba smjera. Taj je obrazac sudar adresa, a ne greška autentifikacije ili vatrozida, i potvrđivanje zahtijeva jedan ispis tablice uspoređen s popisom.

Namjerno odredite veličinu klijentskog bazena i raspona lokacija

Klijentski bazen VPN-a raspon je koji pristupnik dijeli adresu po adresu, pa njegova veličina ograničava istovremenost. /24 drži 254 upotrebljive adrese, što je izdašno za mali tim i tijesno za ogranak koji pokreće kontejnere; /22 ne stoji ništa dodatno unutar privatnog prostora i uklanja raspravu. Držite bazen susjednim i podalje od svake lokalne mreže lokacije, da sažeta ruta prema klijentima nikada ne proguta lokaciju. Rezervirajte raspon čak i dok je bazen prazan, jer nezapisani raspon je onaj koji će dodijeliti sljedeći inženjer.

Lokacije dobivaju raspone dimenzionirane za očekivane hostove plus rast, poravnate na granici koja se čisto sažima. Namjerne praznine između dodjela ne stoje ništa i kupuju prostor za kasnije agregiranje.

Zatim provjerite smjer koji ljudi zaboravljaju: povratni put. Svaki usmjerivač lokacije treba rutu do klijentskog bazena, a koncentrator treba rutu do svakog prefiksa lokacije koju opslužuje. Uredna tablica prefiksa bez puta natrag do bazena i dalje je pokvaren dizajn, a simptom je jednosmjerna veza koja ništa ne odgovara. Držite oba smjera u istoj tablici i pregledajte je kad se doda lokacija.

Prevođenje i prenumeriranje rješavaju različite probleme

Kada preklapanje već postoji, postoje dvije poštene opcije i jedna nepoštena. Prenumeriranje trajno uklanja sudar i stoji prozor za održavanje plus svaku tvrdo kodiranu adresu koju ste zaboravili. Prevođenje adresa preslikava privatni raspon jedne strane u drugi raspon na rubu tunela, što ostavlja obje lokacije netaknutima ali dodaje stanje, lomi protokole koji ugrađuju adrese i čini zapise težima za čitanje. Nepoštena opcija je host ruta do jednog poslužitelja, koja prolazi jedan test i pada na svemu ostalom.

Birajte po kontroli i trajanju. Lokacija koju posjedujete i možete planirati pripada putu prenumeriranja; partnerska mreža koju ne možete dirati, korištena za jednu aplikaciju, kandidat je za prevođenje s dokumentiranim mapiranjem. Zapišite to mapiranje, jer prevođenje koje postoji samo unutar konfiguracijske datoteke nestaje u trenutku kad se datoteka zamijeni.

Testirajte s udaljene strane prije uvođenja

Testirajte s mreže koja ne hosta pristupnik, jer vlastita lokalna mreža pristupnika skriva većinu grešaka usmjeravanja. Povežite klijenta iza običnog kućnog usmjerivača, zatim dođite do servisa na svakoj lokaciji i jednog unutar klijentskog bazena. Testirajte i obrnut smjer, s hosta lokacije na klijenta, jer povratni putevi padaju neovisno. Test koji samo pinga pristupnik dokazuje da je tunel podignut i ništa više.

Držite raspone, vlasnike i mapiranja prevođenja u jednom zajedničkom zapisu koji sljedeća lokacija čita prije nego išta dodijeli. Pregledajte ga kad se doda lokacija i tretirajte nedokumentiran raspon kao defekt, a ne kao iznenađenje.

Zapis je rezultat. Plan koji živi u sjećanju tri osobe pada prvi put kad je jedna od njih na dopustu, a preklapanje pronađeno u produkciji stoji više nego što bi tablica stajala.