Planirajte podmreže prije VPN-a između lokacija: prenumerirajte ili prevedite

Dva ureda koriste 192.168.1.0/24 jer nitko nije planirao drugačije, a od tunela se očekuje da to riješi. Ne može: usmjerivač ne može učiniti da ista privatna adresa znači dva različita mjesta. Rad koji to sprječava odvija se prije nego što se upiše prvi parametar tunela.

Popišite svaki raspon, uključujući one koje ste zaboravili

Prikupljajte LAN-ove, serverske segmente, skupove klijenata za daljinski pristup, raspone cloud VPC-a i sve kontejnerske ili overlay mreže do kojih hostovi moraju doći. Skupovi klijenata su ono što ljudi zaboravljaju i iznenađujuće se često preklapaju s uredskim rasponom jer su oba odabrana iz iste zadane vrijednosti. Uključite upravljačku mrežu i svaki out-of-band segment.

Zabilježite vlasnika, gateway, svrhu i mora li prefiks biti dostupan s druge lokacije. Prefiks koji nikada ne treba prijeći tunel ne mora biti jedinstven, a znanje o tome smanjuje posao prenumeracije.

IPv6 radite odvojeno, jer su njegov plan i njegova preklapanja neovisni.

Uspoređujte prefikse, ne poznate adrese

Dvije mreže s različitim adresama hostova i dalje se mogu preklapati, jer je preklapanje svojstvo maski, a ne brojeva koje ljudi pamte. 10.20.0.0/16 sadrži 10.20.30.0/24 bez obzira na to izgovara li to netko naglas. Uspoređujte pune parove prefiksa i provjeravajte agregate prema manjim mrežama unutar njih. Zato provjera pripada u tablicu, a ne u nečiju glavu.

Ista provjera vrijedi za vlastiti skup klijenata VPN-a i za svaki prevedeni raspon koji planirate uvesti, jer je prevedeni raspon koji se sudara gori od izvornog preklapanja.

Tablica prefiksa s maskama je dovoljna; dijagram bez maski nije.

Odlučite što zaista mora prijeći

Lokacija može sadržavati trideset podmreža, dok jednoj servisnoj mreži treba daljinski pristup. Pođite od tog zahtjeva i oglašavajte samo ono što mu treba, jer su manji oglasi i odgovarajuća pravila pristupa lakši za pregled i teži za slučajno proširenje. Oglašavanje svakog privatnog raspona u upotrebi navika je koja tunel pretvara u most. Što je oglas uži, to je manji radijus buduće pogreške.

Privatni DNS mora vraćati adrese do kojih predviđeni klijenti mogu doći, pa ime koje pokazuje na neoglašeni ili preklapajući raspon ostaje pokvareno čak i kada pretraga uspije.

Napišite popis pristupa prije konfiguracije tunela, a ne nakon što ne uspije.

Prenumerirajte ili prevedite i znajte cijenu

Prenumeracija jedne mreže obično je najjasniji dugoročni lijek i dotiče rezervacije, uređaje, DNS, pravila vatrozida i sve što ima adresu ugrađenu u konfiguraciju. Prevođenje pristupnog raspona alternativa je kada je prenumeracija nepraktična, a košta identitet izvora plus klasu protokola koji ugrađuju adrese u payload. Odaberite jedno i dovršite, jer je napola prenumerirana mreža gora od bilo koje opcije.

Što god odabrali, dokumentirajte i originalnu i predstavljenu adresu, jer svaki kasniji razgovor o rješavanju problema treba obje.

Zaobilazno rješenje bez povratne putanje nije zaobilazno rješenje.

Koristite matricu ruta kao prijamni test

Završite matricom: lokalni prefiks, udaljeni prefiks, dopuštena usluga i povratni gateway. Ta tablica je prijamni test kada se tunel podigne, a to je i dokument koji će sljedeći inženjer čitati. Testirajte s pravih hostova na odabranim podmrežama, a ne s gateway-a.

Ping između adresa tunela dokazuje da tunel postoji i ništa o planu adresa iza njega.

Držite matricu uz konfiguraciju tunela i sljedeće dodavanje lokacije počinje iz podataka, a ne iz sjećanja. Kada plan postoji, strongSwan vodič za prosljeđivanje pokriva stranu gateway-a.