დაგეგმეთ ქვექსელები საიტებს შორის VPN-მდე: გადანომრეთ ან თარგმნეთ

ორი ოფისი ორივე იყენებს 192.168.1.0/24-ს, რადგან არავინ დაგეგმა სხვაგვარად, და მოსალოდნელია, რომ გვირაბი მოაგვარებს ამას. არ შეუძლია: მარშრუტიზატორს არ შეუძლია იგივე კერძო მისამართი ორ სხვადასხვა ადგილს ნიშნავდეს. სამუშაო, რომელიც ამას ხელს უშლის, ხდება გვირაბის პირველი პარამეტრის აკრეფამდე.

ჩამოთვალეთ ყველა დიაპაზონი, დავიწყებულების ჩათვლით

შეაგროვეთ LAN-ები, სერვერის სეგმენტები, დისტანციური წვდომის კლიენტთა აუზები, ღრუბლოვანი VPC დიაპაზონები და ნებისმიერი კონტეინერის ან გადაფარვის ქსელი, რომელზეც ჰოსტებმა უნდა მიაღწიონ. კლიენტთა აუზები სწორედ ისაა, რაც ხალხს ავიწყდება, და ისინი გასაოცრად ხშირად ემთხვევა ოფისის დიაპაზონს, რადგან ორივე ერთი და იმავე ნაგულისხმევიდან აირჩიეს. ჩართეთ მართვის ქსელი და ნებისმიერი ზოლგარე სეგმენტი.

ჩაწერეთ მფლობელი, კარიბჭე, დანიშნულება და არის თუ არა პრეფიქსი მეორე საიტიდან მისაწვდომი. პრეფიქსს, რომელსაც არასდროს სჭირდება გვირაბის გავლა, უნიკალური ყოფნა არ სჭირდება, და ამის ცოდნა ამცირებს გადანომვრის სამუშაოს.

IPv6 ცალკე გააკეთეთ, რადგან მისი გეგმა და მისი გადაფარვები დამოუკიდებელია.

შეადარეთ პრეფიქსები და არა ნაცნობი მისამართები

ორი ქსელი სხვადასხვა ჰოსტის მისამართებით მაინც შეიძლება გადაფარდეს, რადგან გადაფარვა ნიღბების თვისებაა და არა იმ რიცხვების, რომლებსაც ხალხი იმახსოვრებს. 10.20.0.0/16 შეიცავს 10.20.30.0/24-ს, ვინმე ხმამაღლა იტყვის თუ არა. შეადარეთ სრული პრეფიქსული წყვილები და შეამოწმეთ აგრეგატები მათში არსებულ პატარა ქსელებთან. ამიტომ ეს შემოწმება ცხრილში უნდა იყოს და არა ვინმეს თავში.

იგივე შემოწმება ეხება თავად VPN-ის კლიენტთა აუზს და ნებისმიერ თარგმნილ დიაპაზონს, რომლის შემოღებასაც აპირებთ, რადგან შეჯახებული თარგმნილი დიაპაზონი უარესია, ვიდრე საწყისი გადაფარვა.

პრეფიქსების ცხრილი ნიღბებით საკმარისია; დიაგრამა ნიღბების გარეშე არა.

გადაწყვიტეთ, რა უნდა გადავიდეს სინამდვილეში

საიტი შეიძლება შეიცავდეს ოცდაათ ქვექსელს, მაშინ როცა ერთ სერვისის ქსელს დისტანციური წვდომა სჭირდება. დაიწყეთ ამ მოთხოვნიდან და გამოაცხადეთ მხოლოდ ის, რაც მას სჭირდება, რადგან უფრო მცირე განცხადებები და შესაბამისი წვდომის წესები უფრო ადვილად გადასამოწმებელია და უფრო ძნელად გასაფართოებელი შემთხვევით. ყოველი გამოყენებული კერძო დიაპაზონის გამოცხადება ჩვევაა, რომელიც გვირაბს ხიდად აქცევს. რაც უფრო ვიწროა განცხადება, მით უფრო მცირეა მომავალი შეცდომის გავლენის რადიუსი.

კერძო DNS-მა უნდა დააბრუნოს მისამართები, რომლებზეც განკუთვნილ კლიენტებს შეუძლიათ მიაღწიონ, ამიტომ გამოუცხადებელ ან გადაფარულ დიაპაზონზე მიმთითებელი სახელი გატეხილი რჩება მაშინაც, როცა ძებნა წარმატებით სრულდება.

დაწერეთ წვდომის სია გვირაბის კონფიგურაციამდე და არა მისი წარუმატებლობის შემდეგ.

გადანომრეთ ან თარგმნეთ და იცოდეთ ღირებულება

ერთი ქსელის გადანომვრა ჩვეულებრივ ყველაზე ნათელი გრძელვადიანი გამოსავალია და ეხება ჯავშნებს, მოწყობილობებს, DNS-ს, ფაირვოლის წესებს და ყველაფერს, რაც მისამართს კონფიგურაციაში აქვს ჩაშენებული. წვდომის დიაპაზონის თარგმნა ალტერნატივაა, როცა გადანომვრა არაპრაქტიკულია, და ის ჯდება წყაროს იდენტობის და იმ პროტოკოლების კლასის ხარჯად, რომლებიც მისამართებს დატვირთვაში ათავსებენ. აირჩიეთ ერთი და დაასრულეთ, რადგან ნახევრად გადანომრილი ქსელი ორივე ვარიანტზე უარესია.

რასაც აირჩევთ, დაარეგისტრირეთ როგორც თავდაპირველი, ისე წარმოდგენილი მისამართი, რადგან ყოველ მომდევნო პრობლემის მოგვარების საუბარს ორივე სჭირდება.

გამოსავალი დაბრუნების გზის გარეშე გამოსავალი არ არის.

გამოიყენეთ მარშრუტების მატრიცა მიღების ტესტად

დაასრულეთ მატრიცით: ლოკალური პრეფიქსი, დისტანციური პრეფიქსი, დაშვებული სერვისი და დაბრუნების კარიბჭე. ეს ცხრილი მიღების ტესტია, როცა გვირაბი ამოდის, და ის ასევე დოკუმენტია, რომელსაც შემდეგი ინჟინერი წაიკითხავს. ტესტეთ რეალური ჰოსტებიდან არჩეულ ქვექსელებში და არა კარიბჭეებიდან.

Ping გვირაბის მისამართებს შორის ამტკიცებს, რომ გვირაბი არსებობს და არაფერს მის უკან არსებული მისამართების გეგმის შესახებ.

შეინახეთ მატრიცა გვირაბის კონფიგურაციასთან ერთად და შემდეგი საიტის დამატება მონაცემებიდან დაიწყება და არა მეხსიერებიდან. როცა გეგმა არსებობს, strongSwan-ის გადაცემის სახელმძღვანელო კარიბჭის მხარეს მოიცავს.