Rencanakan subnet sebelum VPN situs: penomoran ulang atau terjemahan

Dua kantor sama-sama memakai 192.168.1.0/24 karena tidak ada yang merencanakan sebaliknya, dan terowongan diharapkan menyelesaikannya. Itu tidak bisa: router tidak dapat membuat alamat privat yang sama berarti dua tempat berbeda. Pekerjaan yang mencegahnya dilakukan sebelum parameter terowongan pertama diketik.

Inventarisasikan setiap rentang, termasuk yang Anda lupakan

Kumpulkan LAN, segmen server, kumpulan klien akses jarak jauh, rentang VPC cloud, dan jaringan kontainer atau overlay apa pun yang harus dijangkau host. Kumpulan klien adalah yang orang lupakan, dan kumpulan itu cukup sering tumpang tindih dengan rentang kantor karena keduanya dipilih dari default yang sama. Sertakan jaringan manajemen dan segmen out-of-band apa pun.

Catat pemilik, gateway, tujuan, dan apakah prefiks harus dapat dijangkau dari situs lain. Prefiks yang tidak perlu pernah melintasi terowongan tidak harus unik, dan mengetahui itu mengurangi pekerjaan penomoran ulang.

Tangani IPv6 secara terpisah, karena rencana dan tumpang tindihnya independen.

Bandingkan prefiks, bukan alamat yang familier

Dua jaringan dengan alamat host berbeda tetap dapat tumpang tindih, karena tumpang tindih adalah sifat mask, bukan angka yang orang ingat. 10.20.0.0/16 memuat 10.20.30.0/24 entah seseorang mengatakannya keras-keras atau tidak. Bandingkan pasangan prefiks lengkap, dan periksa agregat terhadap jaringan yang lebih kecil di dalamnya. Itulah sebabnya pemeriksaan ini tempatnya di spreadsheet, bukan di kepala seseorang.

Pemeriksaan yang sama berlaku untuk kumpulan klien VPN itu sendiri dan untuk rentang terjemahan apa pun yang hendak Anda perkenalkan, karena rentang terjemahan yang bertabrakan lebih buruk daripada tumpang tindih aslinya.

Tabel prefiks dengan mask sudah cukup; diagram tanpa mask tidak.

Putuskan apa yang benar-benar harus melintas

Satu situs dapat memuat tiga puluh subnet sementara satu jaringan layanan membutuhkan akses jarak jauh. Mulailah dari kebutuhan itu dan umumkan hanya yang dibutuhkannya, karena pengumuman yang lebih kecil dan aturan akses yang cocok lebih mudah ditinjau dan lebih sulit diperlebar secara tidak sengaja. Mengumumkan setiap rentang privat yang dipakai adalah kebiasaan yang mengubah terowongan menjadi jembatan. Semakin sempit pengumumannya, semakin kecil radius dampak kesalahan di masa depan.

DNS privat harus mengembalikan alamat yang dapat dijangkau klien yang dimaksud, jadi nama yang menunjuk ke rentang yang tidak diumumkan atau tumpang tindih tetap rusak meski pencarian berhasil.

Tulis daftar akses sebelum konfigurasi terowongan, bukan setelah gagal.

Penomoran ulang atau terjemahan, dan ketahui biayanya

Penomoran ulang satu jaringan biasanya merupakan obat jangka panjang yang paling jelas, dan itu menyentuh reservasi, perangkat, DNS, aturan firewall, dan apa pun yang alamatnya tertanam di konfigurasi. Menerjemahkan rentang akses adalah alternatifnya ketika penomoran ulang tidak praktis, dan biayanya adalah identitas sumber plus sekelompok protokol yang menyematkan alamat di payload. Pilih satu dan selesaikan, karena jaringan yang setengah dinomori ulang lebih buruk daripada kedua opsi.

Apa pun yang Anda pilih, dokumentasikan alamat asli dan alamat yang disajikan, karena setiap percakapan pemecahan masalah berikutnya membutuhkan keduanya.

Akal-akalan tanpa jalur balik bukanlah akal-akalan.

Gunakan matriks rute sebagai uji penerimaan

Akhiri dengan matriks: prefiks lokal, prefiks jarak jauh, layanan yang diizinkan, dan gateway balik. Tabel itu adalah uji penerimaan saat terowongan menyala, dan juga dokumen yang akan dibaca insinyur berikutnya. Uji dari host nyata di subnet terpilih, bukan dari gateway.

Ping antar alamat terowongan membuktikan terowongan ada dan tidak membuktikan apa pun tentang rencana alamat di belakangnya.

Simpan matriks bersama konfigurasi terowongan, dan penambahan situs berikutnya dimulai dari data, bukan ingatan. panduan penerusan strongSwan mencakup sisi gateway begitu rencananya ada.