Tervezze meg a privát VPN-címtartományokat, mielőtt a telephelyek ütköznek

Két telephely, amelyek mindkettő 192.168.1.0/24-et használ, elérheti külön-külön az internetet, és mégsem érheti el egymást. Az átjáró nem jelez hibát; egyetlen útvonalat telepít ehhez a prefixhez, és minden csomagot ahhoz a partnerhez küld, amelyik először igényelte. A kézfogásban, a titkosítási listában vagy az interfész metrikájában semmi nem mondja meg, melyik partner a hibás. A címtervezés a tervezés azon része, amely ezt még bárki csatlakozása előtt tisztázza.

Vegyen fel minden teret, amelynek elérhetőnek kell lennie

Írja fel azokat a tartományokat, amelyeket irányítani kell, ne csak azokat, amelyeket konfigurál. Ez a telephelyi LAN-okat, a VPN klienspoolokat, a felhő alhálózatokat, a kezelői és sávon kívüli hálózatokat, a laboratóriumi szegmenseket és azokat a hálózatokat jelenti, amelyekről a felhasználók otthonról rendszeresen csatlakoznak. Az 192.168.1.0/24-ként szállított fogyasztói router nem hipotetikus, és ugyanez a prefix megjelenik szállodákban és konferenciaközpontokban. A leltár prefix, tulajdonos és cél táblázata, és ez az egyetlen dokumentum, amely megakadályozza, hogy ugyanazt a tartományt kétszer adják ki.

Adja hozzá azokat a prefixeket, amelyeket a következő évben vár, mert a csak a mára kiterjedő terv az első új telephelyen elbukik. Jelölje meg minden sorban, ki változtathatja meg, nem csak azt, hogy ki birtokolja.

Az újrafelhasználás teszi ezt nehézzé: a privát tér véges, és minden szervezet a magáénak tekinti a 10.0.0.0/8-at. Egy terv nem ígérheti meg, hogy egyetlen jövőbeli vendég-LAN sem esik az egyik prefixére, ezért a tervezésnek meg kell mondania, mi történik, ha mégis. Két szabály végzi a munka nagy részét. Tegye a klienspoolokat egyetlen összefoglalható, összefüggő blokkba, és soha ne osszon ki olyan tartományt, amelyet egy másik csapat már irányít. Minden más olyan nyilvántartás, amelyet valaki naprakészen tart.

Miért győzi le az átfedés az útválasztási táblát

Az útvonal egy prefix plusz a következő ugrás, és a továbbítás a leghosszabb egyező prefixet választja. Amikor két partner ugyanazt az 192.168.1.0/24-et igényli, a tábla egyetlen bejegyzést tart rá, így mindkét telephely forgalma ugyanazon az alagúton keresztül lép ki. A második telephely nincs rosszul konfigurálva; elérhetetlen, mert az első válaszol ugyanazokra a címekre. Semmilyen metrika nem tudja szétválasztani őket, mert az egyezés a metrikák figyelembevétele előtt történik.

A hiba aszimmetrikus és könnyen félreérthető. Az A telephely hosztjai elérik az átjárót és néhány szolgáltatást, míg a B telephely hosztjai semmire sem válaszolnak, és a napló mindkét irányban egészséges alagutat mutat. Ez a minta címütközés, nem hitelesítési vagy tűzfalhiba, és megerősítéséhez egyetlen táblaürítés kell a leltárral összevetve.

Méretezze szándékosan a klienspoolt és a telephelyi tartományokat

A VPN klienspool olyan tartomány, amelyből az átjáró egyszerre egy címet oszt ki, így a mérete korlátozza az egyidejűséget. Egy /24 254 használható címet tartalmaz, ami egy kis csapatnak bőkezű, egy konténereket futtató fióktelepnek szűkös; egy /22 semmibe sem kerül a privát téren belül, és megszünteti a vitát. Tartsa a poolt összefüggőnek és minden telephelyi LAN-tól távol, hogy a kliensek felé vezető összevont útvonal soha ne nyeljen el egy telephelyet. Foglalja le a tartományt akkor is, amikor a pool üres, mert az íratlan tartomány az, amelyet a következő mérnök kioszt.

A telephelyek a várt hosztokhoz és a növekedéshez méretezett tartományokat kapnak, tisztán összegezhető határra igazítva. A kiosztások közötti szándékos hézagok semmibe sem kerülnek, és helyet adnak a későbbi összesítéshez.

Ezután ellenőrizze azt az irányt, amelyet az emberek elfelejtenek: a visszautat. Minden telephelyi routernek útvonalra van szüksége a klienspoolhoz, a koncentrátornak pedig minden általa kiszolgált telephelyi prefixhez. A rendezett prefixtábla a poolhoz visszavezető út nélkül még mindig törött tervezés, és a tünet az egyirányú kapcsolat, amely semmire sem válaszol. Tartsa mindkét irányt ugyanabban a táblában, és vizsgálja felül, valahányszor telephelyet ad hozzá.

A fordítás és az újraszámozás különböző problémákat old meg

Ha már létezik átfedés, két tisztességes és egy tisztességtelen lehetőség van. Az újraszámozás véglegesen megszünteti az ütközést, és karbantartási ablakba plusz minden elfeledett, mereven kódolt címbe kerül. A címfordítás az egyik oldal privát tartományát egy másik tartományba képezi le az alagút szélén, ami mindkét telephelyet érintetlenül hagyja, de állapotot ad hozzá, megtöri a címeket beágyazó protokollokat, és nehezebben olvashatóvá teszi a naplókat. A tisztességtelen lehetőség egy hosztútvonal egyetlen szerverhez, amely egy tesztet átmegy, és minden másban elbukik.

Kontroll és élettartam alapján válasszon. Az a telephely, amely az Öné és ütemezhető, az újraszámozás útjára tartozik; egy partnerhálózat, amelyhez nem nyúlhat, és egyetlen alkalmazáshoz használják, a fordítás jelöltje dokumentált leképezéssel. Írja le azt a leképezést, mert a csak egy konfigurációs fájlon belül létező fordítás eltűnik abban a pillanatban, amikor a fájlt lecserélik.

Teszteljen a távoli oldalról, mielőtt telepít

Olyan hálózatról teszteljen, amely nem ad otthont az átjárónak, mert az átjáró saját LAN-ja elrejti az útválasztási hibák többségét. Csatlakoztasson egy klienst egy közönséges otthoni router mögé, majd érjen el egy szolgáltatást minden telephelyen és egyet a klienspoolon belül. Tesztelje az ellenkező irányt is, egy telephelyi hoszttól a kliensig, mert a visszautak függetlenül meghibásodnak. Az a teszt, amely csak az átjárót pingeli, azt bizonyítja, hogy az alagút áll, és semmi mást.

Tartsa a tartományokat, tulajdonosokat és fordítási leképezéseket egyetlen közös nyilvántartásban, amelyet a következő telephely bármi kiosztása előtt elolvas. Vizsgálja felül, amikor telephelyet ad hozzá, és a dokumentálatlan tartományt hibának tekintse, ne meglepetésnek.

A nyilvántartás a szállítandó eredmény. Egy terv, amely három ember emlékezetében él, az első alkalommal elbukik, amikor egyikük szabadságon van, és a termelésben talált átfedés többe kerül, mint amennyibe a táblázat került volna.