Hogyan méretezzük a címteret egy telephelyek közötti VPN-hez

Kérdezze meg, mekkora legyen a VPN-alhálózat, és az őszinte válasz az, hogy a kérdésben négy különböző alhálózat is lapulhat. Egy telephelyi VPN érinthet szállítási végpontokat, számozott alagútkapcsolatokat, a védett LAN-előtagokat és a felügyelt átjárókon a szolgáltató által fenntartott infrastruktúra-alhálózatot. Egy adott tervben ezek közül csak egy vagy kettő létezik. Ha ezeket az irodai eszközök számából méretezi, a terv egy olyan /24-cel végződik, amely senkinek nem felel meg.

Nevezze meg a négy szerepet, mielőtt bármit kiosztana

A szállítási végpontok azok a címek, amelyeket két átjáró használ egymás elérésére az interneten vagy egy bérelt vonalon keresztül, és a számuk az átjáró- és redundanciamodellből ered, nem a LAN-ból. Belső alagútkapcsolatok csak ott léteznek, ahol a terv pont-pont interfészt számoz, amit a házirend-alapú IPsec-konfiguráció általában nem tesz. A védett előtagok a valódi irodai vagy VPC-hálózatok, amelyeknek útvonalazhatónak kell lenniük, a szolgáltató által fenntartott alhálózat pedig a felügyelt szolgáltatáshoz tartozik.

Leltározza fel a már meglévőt, mielőtt bármit hozzáadna, mert itt a drága hiba egy olyan előtag újrafelhasználása, amelyet már máshol útvonalaznak. Egy kísérleti projektből maradt elavult alagút is elég a terv megmérgezéséhez. Írja le a leltárt dátumokkal, mert egy leszerelt kapcsolat emléke tovább él magánál a kapcsolatnál.

ip -br addr show
ip route show | head -40

Ez a két parancs adja a helyi képet a csatlakoztatott hálózatokról és azokról az útvonalakról, amelyek mindent elérnek rajtuk túl. Ismételje meg a leltárt minden telephelyen, mert az egy telephely kimenetéből épített terv ütközni fog a következőével. Gyűjtse össze a kimeneteket, mielőtt egyetlen blokkot kiosztana.

Kapcsolatokat és topológiát számoljon, ne eszközöket

Egy nyolc pont-pont szomszédságú terv nyolc blokkot fogyaszt, nem egyet. /30 esetén minden blokk négy címet költ két gazdagép összekapcsolására, így a terv harminckét címet hordoz tizenhat használható végpontra, és ezt a számot kell a költségvetésnek elviselnie. A /31-kapcsolatokat támogató platform ennek a felét költi, de csak akkor, ha mindkét vég és a szolgáltatás egyetért ezzel a modellel. Inkább felfelé kerekítse a költségvetést, mint lefelé, mert egy blokk későbbi szűkítése az élő kapcsolatok újraszámozását jelenti.

A szolgáltatói korlátok felülírják az általános gyakorlatot. Egy dokumentált belső alagúttartomány /30-at követelhet ott is, ahol /31 működik a routerein, és egy felügyelt átjáró meghatározott maszkot írhat elő a saját alhálózatához. Olvassa el a szolgáltatás követelményét, mielőtt egy másik platformról kölcsönzött ökölszabályt alkalmaz.

Egy többpontos átfedő réteg újra megváltoztatja a számítást: egy cím átjárónként, az átfedő réteg pedig az elérhetőséget kezeli köztük. Döntse el, melyik topológiát használja valójában a megvalósítás, mielőtt a telephelyeket blokkmérettel megszorozza.

A növekedés saját sort érdemel a tervben. Összefüggő infrastruktúra-tartomány fenntartása ésszerű, és az is, hogy rögzítse, mely kisebb kiosztások esnek bele, hogy a következő mérnök ne olvassa a fenntartást egyetlen üzenetszórási tartományként.

Tartsa az átjáró alhálózatát a LAN-készleten kívül

A felügyelt átjáró infrastruktúrája nem klienskészlet. A fenntartott átjáró-alhálózat címei magának a szolgáltatásnak a komponenseit fogadják, és a távoli munkatársak soha nem merítenek belőlük. Ezt az alhálózatot a felhasználók számából méretezni kategóriahiba, amely vagy nagy tartományt pazarol el, vagy éhezteti az átjárót.

Ugyanez vonatkozik a felhő-VPN-kapcsolatok alagúttartományaira, ahol a szolgáltató alagútonként egy kis belső tartományt oszt ki a saját használatára. Az a tartomány nem az a hely, ahol a fióki kiszolgálói élnek, és nem az öné, hogy szétossza.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

A külső címek listázása megerősíti, mit osztott ki a szolgáltató, és melyik tartalék alagút van éppen aktív. Gyorsabb, mint egy olyan tervezési dokumentumot olvasni, amely a kapcsolat létrejötte előtt íródott.

Rögzítse a szerepet, a gazdát és a növekedést minden előtaghoz

Az a terv, amely túléli az üzemeltetéssel való találkozást, minden előtaghoz megmondja, milyen szerepet játszik, ki osztja ki a távoli véget, és mennyi tartaléka van. A gazdamező nélkül két csapat ugyanabban a negyedévben ugyanazt a /24-et osztja ki, és az ütközés csak akkor derül ki, amikor az alagút feljön.

Tartsa ezeket a tartományokat távol az otthoni és fióki előtagoktól, amelyek más alagutakon érkeznek, mert az átfedő címtér a szokásos oka annak, hogy egy telephelyek közötti kapcsolat sikeresen tárgyal, majd nem továbbít forgalmat.

A belső kapcsolati címek kiosztása nem hirdeti meg a mögöttük lévő LAN-okat. Az útvonalak vagy forgalomválasztók, a visszautak és a hozzáférési szabályok külön munkatételek, és a tervnek ezt ki kell mondania ahelyett, hogy azt sugallná, egy számozott interfész elvégzi helyette az útvonalazást.