Cara menentukan ukuran ruang alamat untuk VPN antar lokasi

Tanyakan seberapa besar subnet VPN seharusnya dan jawaban jujurnya adalah pertanyaan itu bisa memuat empat subnet berbeda. VPN lokasi dapat melibatkan endpoint transport, tautan tunnel bernomor, prefiks LAN yang dilindungi, dan pada gateway terkelola, subnet infrastruktur yang dicadangkan penyedia. Hanya satu atau dua di antaranya ada dalam rancangan tertentu. Mengukurnya dari jumlah perangkat kantor adalah cara sebuah rencana berakhir dengan /24 yang tidak memuaskan siapa pun.

Beri nama keempat peran sebelum Anda mengalokasikan apa pun

Endpoint transport adalah alamat yang dipakai dua gateway untuk saling menjangkau melalui internet atau sirkuit privat, dan jumlahnya berasal dari model gateway dan redundansi, bukan dari LAN. Tautan tunnel internal hanya ada di tempat rancangan menomori antarmuka titik-ke-titik, yang biasanya tidak dilakukan konfigurasi IPsec berbasis kebijakan. Prefiks yang dilindungi adalah jaringan kantor atau VPC sebenarnya yang harus bisa dirutekan, dan subnet yang dicadangkan penyedia milik layanan terkelola.

Inventarisasi apa yang sudah ada sebelum menambahkan apa pun, karena kesalahan mahal di sini adalah memakai ulang prefiks yang sudah dirutekan di tempat lain. Tunnel lama dari proyek percontohan cukup untuk meracuni sebuah rencana. Catat inventaris itu beserta tanggalnya, karena ingatan tentang tautan yang sudah dinonaktifkan hidup lebih lama daripada tautannya sendiri.

ip -br addr show
ip route show | head -40

Kedua perintah itu memberi pandangan lokal tentang jaringan yang terhubung dan rute yang menjangkau segala sesuatu di luarnya. Ulangi inventaris di setiap lokasi, karena rencana yang dibangun dari keluaran satu lokasi akan bertabrakan dengan keluaran lokasi berikutnya. Kumpulkan keluaran tersebut sebelum Anda mengalokasikan satu blok pun.

Hitung tautan dan topologi, bukan perangkat

Rancangan dengan delapan ketetanggaan titik-ke-titik menghabiskan delapan blok, bukan satu. Pada /30 setiap blok membelanjakan empat alamat untuk menghubungkan dua host, sehingga rencana membawa tiga puluh dua alamat untuk enam belas endpoint yang bisa dipakai, dan itulah angka yang harus ditanggung anggaran. Platform yang mendukung tautan /31 membelanjakan separuhnya, tetapi hanya bila kedua ujung dan layanan sepakat pada model itu. Bulatkan anggaran ke atas, bukan ke bawah, karena mengecilkan blok nanti berarti menomori ulang tautan yang aktif.

Batasan penyedia mengalahkan praktik umum. Rentang tunnel internal yang didokumentasikan dapat mewajibkan /30 bahkan di tempat /31 bekerja pada router Anda, dan gateway terkelola dapat menuntut mask tertentu untuk subnetnya sendiri. Baca persyaratan layanan sebelum menerapkan aturan praktis yang dipinjam dari platform lain.

Overlay multipoin mengubah aritmetika lagi: satu alamat per gateway, dengan overlay menangani keterjangkauan di antaranya. Putuskan topologi mana yang benar-benar dipakai implementasi sebelum mengalikan lokasi dengan ukuran blok.

Pertumbuhan layak mendapat barisnya sendiri dalam rencana. Mencadangkan rentang infrastruktur yang koheren masuk akal, dan begitu pula mencatat alokasi lebih kecil yang ada di dalamnya, agar insinyur berikutnya tidak membaca cadangan itu sebagai satu domain siaran.

Jauhkan subnet gateway dari kumpulan LAN

Infrastruktur gateway terkelola bukan kumpulan klien. Alamat di subnet gateway yang dicadangkan menjadi tempat komponen layanan itu sendiri, dan pekerja jarak jauh tidak pernah mengambil darinya. Mengukur subnet itu dari jumlah pengguna adalah kesalahan kategori yang entah membuang rentang besar atau membuat gateway kelaparan.

Hal yang sama berlaku untuk rentang tunnel pada koneksi VPN cloud, tempat penyedia mengalokasikan rentang internal kecil per tunnel untuk pemakaiannya sendiri. Rentang itu bukan tempat server cabang Anda berada, dan bukan milik Anda untuk dibagikan.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Mendaftar alamat luar menegaskan apa yang dialokasikan penyedia dan tunnel redundan mana yang sedang aktif. Itu lebih cepat daripada membaca dokumen rancangan yang ditulis sebelum koneksi itu ada.

Catat peran, pemilik, dan pertumbuhan untuk setiap prefiks

Rencana yang bertahan saat bersentuhan dengan operasi menyatakan, untuk setiap prefiks, peran apa yang dimainkannya, siapa yang mengalokasikan ujung jauh, dan berapa banyak ruang sisa yang dimilikinya. Tanpa bidang pemilik, dua tim mengalokasikan /24 yang sama pada kuartal yang sama, dan tabrakannya baru muncul saat tunnel menyala.

Jauhkan rentang ini dari prefiks rumah dan cabang yang datang melalui tunnel lain, karena ruang yang tumpang tindih adalah alasan biasa sebuah koneksi antar lokasi bernegosiasi dengan sukses lalu tidak melewatkan trafik apa pun.

Mengalokasikan alamat tautan internal tidak mengumumkan LAN di belakangnya. Rute atau pemilih trafik, jalur balik, dan aturan akses adalah butir kerja terpisah, dan rencana harus mengatakannya alih-alih menyiratkan bahwa antarmuka bernomor mengerjakan perutean untuk Anda.