Rencanakan rentang alamat VPN privat sebelum situs bertabrakan

Dua situs yang keduanya memakai 192.168.1.0/24 dapat masing-masing mencapai internet dan tetap gagal saling mencapai. Gateway tidak memunculkan kesalahan; ia memasang satu rute untuk prefiks itu dan mengirim setiap paket ke rekan yang mengklaimnya lebih dulu. Tidak ada apa pun dalam jabat tangan, daftar sandi, atau metrik antarmuka yang mengatakan rekan mana yang salah. Perencanaan alamat adalah bagian desain yang menyelesaikan ini sebelum siapa pun terhubung.

Inventarisasikan setiap ruang yang harus dapat dijangkau

Tuliskan rentang yang harus dirutekan, bukan hanya yang sedang Anda konfigurasi. Itu berarti LAN situs, kumpulan klien VPN, subnet cloud, jaringan manajemen dan di luar pita, segmen laboratorium, dan jaringan tempat pengguna biasa terhubung dari rumah. Router konsumen yang dikirim sebagai 192.168.1.0/24 bukan hal hipotetis, dan prefiks yang sama muncul di hotel dan tempat konferensi. Inventaris adalah tabel prefiks, pemilik, dan tujuan, dan itulah satu-satunya artefak yang mencegah rentang yang sama diberikan dua kali.

Tambahkan prefiks yang Anda perkirakan dalam tahun mendatang, karena rencana yang hanya mencakup hari ini gagal di situs baru pertama. Tandai setiap baris dengan siapa yang dapat mengubahnya, bukan hanya siapa yang memilikinya.

Pemakaian ulang itulah yang membuatnya sulit: ruang privat terbatas dan setiap organisasi menganggap 10.0.0.0/8 miliknya sendiri. Rencana tidak dapat menjanjikan bahwa tidak ada LAN tamu di masa depan yang mendarat di salah satu prefiks Anda, jadi desain harus mengatakan apa yang terjadi bila itu terjadi. Dua aturan melakukan sebagian besar pekerjaan. Letakkan kumpulan klien dalam satu blok bersambung yang dapat Anda ringkas, dan jangan pernah mengalokasikan rentang yang sudah dirutekan tim lain. Sisanya adalah catatan yang seseorang jaga tetap mutakhir.

Mengapa tumpang tindih mengalahkan tabel perutean

Rute adalah prefiks plus lompatan berikutnya, dan penerusan memilih prefiks yang cocok paling panjang. Ketika dua rekan sama-sama mengklaim 192.168.1.0/24, tabel menyimpan satu entri untuk itu, sehingga lalu lintas kedua situs keluar melalui terowongan yang sama. Situs kedua tidak salah konfigurasi; ia tidak terjangkau karena yang pertama menjawab untuk alamat yang sama. Tidak ada metrik yang dapat memisahkan keduanya, karena pencocokan terjadi sebelum metrik diperiksa.

Kegagalan itu asimetris dan mudah salah dibaca. Host di situs A mencapai gateway dan beberapa layanan, sementara host situs B tidak menjawab apa pun, dan log menunjukkan terowongan sehat di kedua arah. Pola itu adalah tabrakan alamat dan bukan kesalahan autentikasi atau firewall, dan memastikannya memerlukan satu pembuangan tabel yang dibandingkan dengan inventaris.

Ukur kumpulan klien dan rentang situs secara sengaja

Kumpulan klien VPN adalah rentang yang dibagikan gateway satu alamat setiap kali, jadi ukurannya membatasi konkurensi. /24 menampung 254 alamat yang dapat dipakai, yang lapang untuk tim kecil dan ketat untuk cabang yang menjalankan kontainer; /22 tidak memakan biaya tambahan di dalam ruang privat dan menghapus perdebatan. Jaga kumpulan tetap bersambung dan jauh dari setiap LAN situs, agar rute ringkas menuju klien tidak pernah menelan situs. Pesan rentangnya bahkan saat kumpulan kosong, karena rentang yang tidak tertulis adalah yang akan dialokasikan insinyur berikutnya.

Situs mendapat rentang yang diukur untuk host yang diperkirakan plus pertumbuhan, disejajarkan pada batas yang meringkas dengan bersih. Celah yang disengaja antar alokasi tidak memakan biaya dan membeli ruang untuk agregasi nanti.

Lalu periksa arah yang orang lupakan: jalur kembali. Setiap router situs memerlukan rute ke kumpulan klien, dan konsentrator memerlukan rute ke setiap prefiks situs yang dilayaninya. Tabel prefiks yang rapi tanpa jalur kembali ke kumpulan tetap desain yang rusak, dan gejalanya adalah koneksi satu arah yang tidak menjawab apa pun. Jaga kedua arah di tabel yang sama dan tinjau setiap kali situs ditambahkan.

Penerjemahan dan penomoran ulang memecahkan masalah yang berbeda

Ketika tumpang tindih sudah ada, ada dua pilihan jujur dan satu tidak jujur. Penomoran ulang menghapus tabrakan secara permanen dan memakan jendela pemeliharaan plus setiap alamat terkode keras yang Anda lupakan. Penerjemahan alamat memetakan rentang privat satu sisi ke rentang lain di tepi terowongan, yang membiarkan kedua situs utuh tetapi menambah status, merusak protokol yang menyematkan alamat, dan membuat log lebih sulit dibaca. Pilihan tidak jujur adalah rute host ke satu server, yang lolos satu uji dan gagal di semua hal lain.

Pilih berdasarkan kendali dan masa pakai. Situs yang Anda miliki dan dapat Anda jadwalkan termasuk jalur penomoran ulang; jaringan mitra yang tidak dapat Anda sentuh, dipakai untuk satu aplikasi, adalah kandidat penerjemahan dengan pemetaan terdokumentasi. Tuliskan pemetaan itu, karena penerjemahan yang hanya ada di dalam berkas konfigurasi hilang pada saat berkas itu diganti.

Uji dari sisi jauh sebelum menerapkan

Uji dari jaringan yang tidak menghost gateway, karena LAN gateway sendiri menyembunyikan sebagian besar kesalahan perutean. Hubungkan klien di belakang router rumah biasa, lalu jangkau layanan di setiap situs dan satu di dalam kumpulan klien. Uji juga arah sebaliknya, dari host situs ke klien, karena jalur kembali gagal secara mandiri. Uji yang hanya mem-ping gateway membuktikan terowongan menyala dan tidak lebih.

Jaga rentang, pemilik, dan pemetaan penerjemahan dalam satu catatan bersama yang dibaca situs berikutnya sebelum mengalokasikan apa pun. Tinjau saat situs ditambahkan, dan perlakukan rentang tanpa dokumentasi sebagai cacat, bukan kejutan.

Catatan itulah hasilnya. Rencana yang hidup di ingatan tiga orang gagal pertama kali salah satu dari mereka cuti, dan tumpang tindih yang ditemukan di produksi memakan biaya lebih besar daripada tabel itu.