Come dimensionare lo spazio degli indirizzi di una VPN tra sedi

Chiedi quanto deve essere grande la sottorete della VPN e la risposta onesta è che la domanda può contenere quattro sottoreti diverse. Una VPN tra sedi può coinvolgere endpoint di trasporto, collegamenti tunnel numerati, i prefissi della LAN protetta e, sui gateway gestiti, una sottorete di infrastruttura riservata dal fornitore. In un dato progetto ne esistono solo una o due. Dimensionarle in base al numero di dispositivi d’ufficio è il modo in cui un piano finisce con una /24 che non accontenta nessuno.

Dai un nome ai quattro ruoli prima di assegnare qualsiasi cosa

Gli endpoint di trasporto sono gli indirizzi che due gateway usano per raggiungersi attraverso Internet o un circuito privato, e il loro numero deriva dal modello di gateway e ridondanza, non dalla LAN. I collegamenti tunnel interni esistono solo dove il progetto numera un’interfaccia punto a punto, cosa che una configurazione IPsec basata su criteri di norma non fa. I prefissi protetti sono le reti reali d’ufficio o VPC che devono essere instradabili, e la sottorete riservata dal fornitore appartiene al servizio gestito.

Fai l’inventario di ciò che esiste già prima di aggiungere qualcosa, perché l’errore costoso qui è riutilizzare un prefisso già instradato altrove. Un tunnel dimenticato da un progetto pilota basta a rovinare un piano. Annota l’inventario con le date, perché il ricordo di un collegamento dismesso sopravvive al collegamento stesso.

ip -br addr show
ip route show | head -40

Quei due comandi danno la vista locale delle reti connesse e delle rotte che raggiungono tutto il resto. Ripeti l’inventario su ogni sede, perché un piano costruito sull’output di una sede entrerà in collisione con quello della successiva. Raccogli gli output prima di assegnare un solo blocco.

Conta i collegamenti e la topologia, non i dispositivi

Un progetto con otto adiacenze punto a punto consuma otto blocchi, non uno. A /30 ogni blocco spende quattro indirizzi per collegare due host, quindi il piano porta trentadue indirizzi per sedici estremi utilizzabili, e questa è la cifra che il budget deve contenere. Una piattaforma che supporta collegamenti /31 ne spende la metà, ma solo quando entrambe le estremità e il servizio concordano su quel modello. Arrotonda il budget per eccesso anziché per difetto, perché ridurre un blocco dopo significa rinumerare collegamenti attivi.

I vincoli del fornitore battono la pratica generale. Un intervallo tunnel interno documentato può richiedere /30 anche dove /31 funziona sui tuoi router, e un gateway gestito può pretendere una maschera specifica per la propria sottorete. Leggi il requisito del servizio prima di applicare una regola empirica presa da un’altra piattaforma.

Un overlay multipunto cambia di nuovo l’aritmetica: un indirizzo per gateway, con l’overlay che gestisce la raggiungibilità tra loro. Decidi quale topologia usa davvero l’implementazione prima di moltiplicare le sedi per una dimensione di blocco.

La crescita merita una riga propria nel piano. Riservare un intervallo di infrastruttura coerente è ragionevole, e lo è anche annotare quali allocazioni più piccole vi si trovano, così il prossimo ingegnere non legge la riserva come un unico dominio di broadcast.

Tieni la sottorete del gateway fuori dal pool della LAN

L’infrastruttura di un gateway gestito non è un pool di client. Gli indirizzi di una sottorete gateway riservata ospitano i componenti del servizio stesso, e i lavoratori remoti non ne attingono mai. Dimensionare quella sottorete in base al numero di utenti è un errore di categoria che o spreca un intervallo ampio o affama il gateway.

Lo stesso vale per gli intervalli tunnel sulle connessioni VPN cloud, dove il fornitore assegna un piccolo intervallo interno per tunnel a uso proprio. Quell’intervallo non è dove vivono i server di filiale, e non spetta a te distribuirlo.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Elencare gli indirizzi esterni conferma cosa ha assegnato il fornitore e quale tunnel ridondante è attivo in questo momento. È più veloce che leggere un documento di progetto scritto prima che la connessione esistesse.

Registra ruolo, proprietario e crescita per ogni prefisso

Un piano che sopravvive al contatto con l’esercizio dichiara, per ogni prefisso, quale ruolo svolge, chi assegna l’estremità remota e quanto margine contiene. Senza il campo del proprietario, due team assegnano la stessa /24 nello stesso trimestre e la collisione emerge solo quando il tunnel sale.

Tieni questi intervalli lontani dai prefissi domestici e di filiale che arrivano da altri tunnel, perché la sovrapposizione dello spazio è la ragione abituale per cui una connessione tra sedi negozia con successo e poi non passa traffico.

Assegnare indirizzi di collegamento interni non annuncia le LAN che stanno dietro. Rotte o selettori di traffico, percorsi di ritorno e regole di accesso sono voci di lavoro separate, e il piano dovrebbe dirlo invece di lasciar intendere che un’interfaccia numerata faccia il routing per te.