დაგეგმეთ კერძო VPN მისამართების დიაპაზონები სანამ საიტები დაეჯახებიან

ორ საიტს, რომლებიც ორივე 192.168.1.0/24-ს იყენებს, შეუძლია ინტერნეტს მიაღწიოს და მაინც ერთმანეთს ვერ მიაღწიოს. კარიბჭე შეცდომას არ აბრუნებს; ის ამ პრეფიქსისთვის ერთ მარშრუტს აყენებს და ყველა პაკეტს აგზავნის იმ პარტნიორთან, რომელმაც ის პირველმა მოითხოვა. ხელის ჩამორთმევაში, შიფრების სიაში ან ინტერფეისის მეტრიკაში არაფერი ამბობს, რომელი პარტნიორია არასწორი. მისამართების დაგეგმვა დიზაინის ის ნაწილია, რომელიც ამას აგვარებს ვინმეს დაკავშირებამდე.

ჩამოწერეთ ყველა სივრცე, რომელიც ხელმისაწვდომი უნდა იყოს

ჩაწერეთ ის დიაპაზონები, რომლებიც უნდა მარშრუტიზდეს, და არა მხოლოდ ის, რომლებსაც კონფიგურირებთ. ეს ნიშნავს საიტების LAN-ებს, VPN კლიენტების აუზებს, ღრუბლოვან ქვექსელებს, მართვისა და ზოლის გარეთა ქსელებს, ლაბორატორიის სეგმენტებს და იმ ქსელებს, საიდანაც მომხმარებლები ჩვეულებრივ სახლიდან უკავშირდებიან. სამომხმარებლო მარშრუტიზატორი, რომელიც 192.168.1.0/24-ად მოდის, ჰიპოთეტური არ არის და იგივე პრეფიქსი სასტუმროებსა და კონფერენციის დარბაზებში გვხვდება. ინვენტარი არის პრეფიქსის, მფლობელისა და დანიშნულების ცხრილი და ერთადერთი დოკუმენტია, რომელიც ხელს უშლის ერთი და იმავე დიაპაზონის ორჯერ გაცემას.

დაამატეთ ის პრეფიქსები, რომლებსაც მომავალ წელს ელით, რადგან მხოლოდ დღევანდელობის დამფარავი გეგმა პირველივე ახალ საიტზე ვარდება. ყოველ სტრიქონში მონიშნეთ, ვის შეუძლია მისი შეცვლა და არა მხოლოდ ვინ ფლობს მას.

სწორედ ხელახალი გამოყენება ართულებს ამას: კერძო სივრცე სასრულია და ყველა ორგანიზაცია 10.0.0.0/8-ს საკუთრად მიიჩნევს. გეგმა ვერ დაპირდება იმას, რომ მომავალი სტუმრის LAN თქვენს ერთ-ერთ პრეფიქსზე არ დაჯდება, ამიტომ დიზაინმა უნდა თქვას, რა ხდება როცა ეს მოხდება. სამუშაოს უმეტეს ნაწილს ორი წესი ასრულებს. მოათავსეთ კლიენტების აუზები ერთ თანმიმდევრულ ბლოკში, რომლის შეჯამებაც შეგიძლიათ, და არასოდეს გამოყოთ დიაპაზონი, რომელსაც სხვა გუნდი უკვე მარშრუტიზებს. დანარჩენი ყველაფერი ჩანაწერია, რომელსაც ვიღაც აქტუალურად ინახავს.

რატომ ამარცხებს გადაფარვა მარშრუტიზაციის ცხრილს

მარშრუტი არის პრეფიქსი პლუს შემდეგი ნახტომი და გადაგზავნა ირჩევს ყველაზე გრძელ შესაბამის პრეფიქსს. როცა ორი პარტნიორი ორივე ითხოვს იმავე 192.168.1.0/24-ს, ცხრილი მისთვის ერთ ჩანაწერს ინახავს, ამიტომ ორივე საიტის ტრაფიკი ერთი და იმავე გვირაბით გადის. მეორე საიტი არასწორად არ არის კონფიგურირებული; ის მიუწვდომელია, რადგან პირველი პასუხობს იმავე მისამართებზე. არცერთი მეტრიკა ვერ გამოყოფს მათ, რადგან დამთხვევა ხდება მეტრიკების გათვალისწინებამდე.

მარცხი ასიმეტრიულია და ადვილად არასწორად იკითხება. A საიტის ჰოსტები აღწევენ კარიბჭეს და ზოგიერთ სერვისს, მაშინ როცა B საიტის ჰოსტები არაფერს პასუხობენ და ჟურნალი ორივე მიმართულებით ჯანსაღ გვირაბს აჩვენებს. ეს ნიმუში მისამართების შეჯახებაა და არა ავთენტიფიკაციის ან ფაირვოლის ხარვეზი, და მის დასადასტურებლად ინვენტართან შედარებული ერთი ცხრილის დამპი სჭირდება.

განზრახ გაზომეთ კლიენტების აუზი და საიტების დიაპაზონები

VPN კლიენტების აუზი არის დიაპაზონი, საიდანაც კარიბჭე თითო მისამართს გასცემს, ამიტომ მისი ზომა ერთდროულობას ზღუდავს. /24 შეიცავს 254 გამოსაყენებელ მისამართს, რაც უხვია პატარა გუნდისთვის და ვიწროა კონტეინერებზე მომუშავე ფილიალისთვის; /22 კერძო სივრცეში დამატებით არაფერი ღირს და კამათს აცილებს. შეინახეთ აუზი თანმიმდევრული და ყველა საიტის LAN-ისგან მოშორებით, რათა კლიენტებისკენ მიმავალი შემაჯამებელი მარშრუტი არასოდეს გადაყლაპოს საიტი. დაჯავშნეთ დიაპაზონი მაშინაც, როცა აუზი ცარიელია, რადგან დაუწერელი დიაპაზონი არის ის, რასაც შემდეგი ინჟინერი გამოყოფს.

საიტები იღებენ დიაპაზონებს, გაზომილს მოსალოდნელი ჰოსტებისა და ზრდისთვის, გასწორებულს სუფთად შესაჯამებელ საზღვარზე. განზრახ ხარვეზები გამოყოფებს შორის არაფერი ღირს და შემდგომი აგრეგაციისთვის ადგილს ყიდულობს.

შემდეგ შეამოწმეთ ის მიმართულება, რომელსაც ადამიანები ივიწყებენ: დაბრუნების გზა. ყოველ საიტის მარშრუტიზატორს სჭირდება მარშრუტი კლიენტების აუზამდე, ხოლო კონცენტრატორს — მარშრუტი ყოველ იმ საიტის პრეფიქსამდე, რომელსაც ემსახურება. სუფთა პრეფიქსების ცხრილი აუზამდე დაბრუნების გზის გარეშე კვლავ გატეხილი დიზაინია და სიმპტომი ერთმხრივი კავშირია, რომელიც არაფერს პასუხობს. შეინახეთ ორივე მიმართულება ერთ ცხრილში და გადახედეთ მას ყოველ ჯერზე, როცა საიტი ემატება.

თარგმნა და გადანომრვა სხვადასხვა პრობლემას ხსნის

როცა გადაფარვა უკვე არსებობს, არის ორი პატიოსანი ვარიანტი და ერთი არაპატიოსანი. გადანომრვა შეჯახებას სამუდამოდ აშორებს და ღირს ტექნიკური მომსახურების ფანჯარა პლუს ყოველი ხისტად ჩაშენებული მისამართი, რომელიც დაგავიწყდათ. მისამართების თარგმნა ერთი მხარის კერძო დიაპაზონს გვირაბის კიდეზე სხვა დიაპაზონში ასახავს, რაც ორივე საიტს ხელუხლებლად ტოვებს, მაგრამ მდგომარეობას ამატებს, ამტვრევს მისამართებს ჩაშენებულ პროტოკოლებს და ჟურნალების კითხვას ართულებს. არაპატიოსანი ვარიანტია ჰოსტის მარშრუტი ერთ სერვერზე, რომელიც ერთ ტესტს გადის და ყველა დანარჩენში ვარდება.

აირჩიეთ კონტროლისა და სიცოცხლის ხანგრძლივობის მიხედვით. საიტი, რომელსაც ფლობთ და რომლის დაგეგმვაც შეგიძლიათ, გადანომრვის გზას ეკუთვნის; პარტნიორის ქსელი, რომელსაც ვერ შეეხებით და ერთი აპლიკაციისთვის გამოიყენება, თარგმნის კანდიდატია დოკუმენტირებული ასახვით. ჩაწერეთ ის ასახვა, რადგან მხოლოდ კონფიგურაციის ფაილის შიგნით არსებული თარგმნა ქრება იმ წამს, როცა ფაილი შეიცვლება.

შეამოწმეთ შორეული მხრიდან განლაგებამდე

შეამოწმეთ ქსელიდან, რომელიც კარიბჭეს არ მასპინძლობს, რადგან კარიბჭის საკუთარი LAN მარშრუტიზაციის შეცდომების უმეტესობას მალავს. დააკავშირეთ კლიენტი ჩვეულებრივი სახლის მარშრუტიზატორის უკან, შემდეგ მიაღწიეთ სერვისს ყოველ საიტზე და ერთს კლიენტების აუზის შიგნით. შეამოწმეთ საპირისპირო მიმართულებაც, საიტის ჰოსტიდან კლიენტამდე, რადგან დაბრუნების გზები დამოუკიდებლად ვარდება. ტესტი, რომელიც მხოლოდ კარიბჭეს პინგავს, ამტკიცებს, რომ გვირაბი მუშაობს და მეტს არაფერს.

შეინახეთ დიაპაზონები, მფლობელები და თარგმნის ასახვები ერთ საერთო ჩანაწერში, რომელსაც შემდეგი საიტი კითხულობს რაიმეს გამოყოფამდე. გადახედეთ მას, როცა საიტი ემატება, და დოკუმენტაციის გარეშე დარჩენილ დიაპაზონს მოეპყარით როგორც ხარვეზს და არა როგორც სიურპრიზს.

ჩანაწერია შედეგი. სამი ადამიანის მეხსიერებაში მცხოვრები გეგმა ვარდება პირველივე ჯერზე, როცა ერთი მათგანი შვებულებაშია, და წარმოებაში ნაპოვნი გადაფარვა უფრო ძვირია, ვიდრე ცხრილი იქნებოდა.