Tervezze meg az alhálózatokat a helyek közötti VPN előtt: újraszámozás vagy fordítás

Két iroda egyaránt 192.168.1.0/24-et használ, mert senki sem tervezett mást, és az alagúttól várják, hogy megoldja. Nem tudja: egy router nem tudja elérni, hogy ugyanaz a privát cím két különböző helyet jelentsen. Azt megakadályozó munka az első alagútparaméter begépelése előtt történik.

Leltározza fel az összes tartományt, a megfeledkezetteket is

Gyűjtse össze a LAN-okat, szerver szegmenseket, a távoli hozzáférés kliens pooljait, a felhő VPC tartományokat és minden olyan konténer- vagy overlay-hálózatot, amelyet a gazdagépeknek el kell érniük. A kliens poolok azok, amelyeket az emberek elfelejtenek, és meglepően gyakran fedik egy irodai tartományt, mert mindkettőt ugyanabból az alapértelmezésből választották. Vegye bele a kezelőhálózatot és minden sávon kívüli szegmenst.

Rögzítse a tulajdonost, az átjárót, a célt és azt, hogy a prefixnek elérhetőnek kell-e lennie a másik helyről. Az a prefix, amelynek soha nem kell átlépnie az alagutat, nem kell egyedinek lennie, és ennek ismerete csökkenti az újraszámozási munkát.

Az IPv6-ot külön kezelje, mert a terve és az átfedései függetlenek.

Prefixeket hasonlítson össze, ne ismerős címeket

Két különböző gazdagép-címmel rendelkező hálózat is átfedhet, mert az átfedés a maszkok tulajdonsága, nem az emberek által megjegyzett számoké. A 10.20.0.0/16 tartalmazza a 10.20.30.0/24-et, akár mondja ezt valaki hangosan, akár nem. Hasonlítsa össze a teljes prefixpárokat, és ellenőrizze az aggregátumokat a bennük lévő kisebb hálózatokkal szemben. Ezért tartozik az ellenőrzés egy táblázatba, és nem valakinek a fejébe.

Ugyanez az ellenőrzés vonatkozik a VPN saját kliens pooljára és minden olyan lefordított tartományra, amelyet be kíván vezetni, mert az ütköző lefordított tartomány rosszabb az eredeti átfedésnél.

A maszkokkal ellátott prefixtábla elegendő; a maszkok nélküli diagram nem.

Döntse el, minek kell valóban átlépnie

Egy hely harminc alhálózatot tartalmazhat, miközben egy szolgáltatáshálózatnak távoli hozzáférésre van szüksége. Induljon ki ebből a követelményből, és csak azt hirdesse, amire szüksége van, mert a kisebb hirdetmények és a hozzájuk illő hozzáférési szabályok könnyebben áttekinthetők és nehezebben szélesíthetők véletlenül. Minden használatban lévő privát tartomány hirdetése olyan szokás, amely hidat csinál az alagútból. Minél szűkebb a hirdetmény, annál kisebb egy jövőbeli hiba hatás sugara.

A privát DNS-nek olyan címeket kell visszaadnia, amelyeket a szándékolt kliensek elérnek, ezért a nem hirdetett vagy átfedő tartományra mutató név akkor is törött marad, ha a lekérdezés sikerül.

A hozzáférési listát az alagút konfigurációja előtt írja meg, ne azután, hogy az kudarcot vallott.

Számozzon újra vagy fordítson, és ismerje a költséget

Egy hálózat újraszámozása általában a legvilágosabb hosszú távú megoldás, és érinti a foglalásokat, az eszközöket, a DNS-t, a tűzfal szabályokat és mindent, aminek a címét a konfigurációba égették. A hozzáférési tartomány fordítása az alternatíva, amikor az újraszámozás nem praktikus, és az forrásidentitásba, valamint olyan protokollosztályba kerül, amelyek a címet a hasznos teherbe ágyazzák. Válasszon egyet, és fejezze be, mert a félig újraszámozott hálózat rosszabb mindkét lehetőségnél.

Bármelyiket választja, dokumentálja az eredeti és a bemutatott címet is, mert minden későbbi hibaelhárítási beszélgetésnek szüksége van mindkettőre.

Visszaút nélküli kerülőút nem kerülőút.

Használja az útvonalmátrixot elfogadási tesztként

Fejezze be egy mátrixszal: helyi prefix, távoli prefix, engedélyezett szolgáltatás és visszatérő átjáró. Ez a tábla az elfogadási teszt, amikor az alagút feljön, és ez az a dokumentum is, amelyet a következő mérnök olvasni fog. Valódi gazdagépekről teszteljen a kiválasztott alhálózatokon, ne az átjárókról.

Az alagútcímek közötti ping bizonyítja, hogy az alagút létezik, és semmit a mögötte lévő címtervről.

Tartsa a mátrixot az alagút konfigurációjával, és a következő hely hozzáadása adatokból indul, nem emlékezetből. Ha a terv létezik, a strongSwan továbbítási útmutatója lefedi az átjáró oldalát.