Сайттар арасындағы VPN алдында ішкі желілерді жоспарлаңыз: қайта нөмірлеңіз немесе аударыңыз

Екі кеңсе де 192.168.1.0/24 қолданады, өйткені ешкім басқаша жоспарламаған, ал туннель мұны шешеді деп күтілуде. Ол мұны істей алмайды: маршрутизатор бір жеке мекенжайды екі түрлі орынды білдіруіне мәжбүрлей алмайды. Мұны болдырмайтын жұмыс туннельдің бірінші параметрі енгізілмес бұрын орындалады.

Әр диапазонды түгендеңіз, ұмытылғандарын да қоса

LAN-дарды, сервер сегменттерін, қашықтан қатынау клиент пулдарын, бұлттық VPC диапазондарын және хосттар жетуі тиіс кез келген контейнерлік немесе қабаттасқан желілерді жинаңыз. Клиент пулдары — адамдар ұмытатын нәрсе, және олар кеңсе диапазонымен таңқаларлық жиі қайталанады, өйткені екеуі де бір әдепкі мәннен таңдалған. Басқару желісін және кез келген жолақтан тыс сегментті қосыңыз.

Иесін, шлюзді, мақсатын және префикстің басқа сайттан қолжетімді болуы керектігін жазып алыңыз. Туннельден ешқашан өтпеуі керек префикс бірегей болуға міндетті емес, және мұны білу қайта нөмірлеу жұмысын азайтады.

IPv6-ны бөлек жасаңыз, өйткені оның жоспары мен қабаттасуы тәуелсіз.

Таныс мекенжайларды емес, префикстерді салыстырыңыз

Хост мекенжайлары әртүрлі екі желі қабаттасуы мүмкін, өйткені қабаттасу — маскалардың қасиеті, адамдар есте сақтайтын сандардың қасиеті емес. 10.20.0.0/16 ішінде 10.20.30.0/24 бар, біреу оны дауыстап айтса да, айтпаса да. Толық префикс жұптарын салыстырыңыз және агрегаттарды олардың ішіндегі кішірек желілерге қарсы тексеріңіз. Сондықтан бұл тексеру біреудің басында емес, кестеде болуы керек.

Сол тексеру VPN-ның өз клиент пулына және енгізуді жоспарлап отырған кез келген аударылған диапазонға қатысты, өйткені соқтығысатын аударылған диапазон бастапқы қабаттасудан да нашар.

Маскалармен префикстер кестесі жеткілікті; маскасыз диаграмма жеткіліксіз.

Шын мәнінде не өтуі керектігін шешіңіз

Бір сайтта отыз ішкі желі болуы мүмкін, ал бір қызмет желісіне қашықтан қатынау қажет. Осы талаптан бастаңыз және оған қажет нәрсені ғана жариялаңыз, өйткені кішірек хабарландырулар мен сәйкес қатынау ережелерін қарау оңайырақ және кездейсоқ кеңейту қиынырақ. Қолданыстағы әрбір жеке диапазонды жариялау — туннельді көпірге айналдыратын әдет. Хабарландыру неғұрлым тар болса, болашақ қатенің әсер ету радиусы соғұрлым аз.

Жеке DNS мақсатты клиенттер жете алатын мекенжайларды қайтаруы керек, сондықтан жарияланбаған немесе қабаттасатын диапазонды көрсететін атау іздеу сәтті болса да бүлінген күйінде қалады.

Қатынау тізімін туннель конфигурациясына дейін жазыңыз, ол сәтсіз болғаннан кейін емес.

Қайта нөмірлеңіз немесе аударыңыз, және құнын біліңіз

Бір желіні қайта нөмірлеу әдетте ең айқын ұзақ мерзімді шешім, және ол резервтеулерге, құрылғыларға, DNS-ке, файрвол ережелеріне және конфигурацияға мекенжайы кіріктірілген барлық нәрсеге әсер етеді. Қатынау диапазонын аудару — қайта нөмірлеу практикалық болмаған кездегі балама, және ол бастау көзінің сәйкестігіне және мекенжайларды пайдалы жүктемеге енгізетін протоколдар класына тұрады. Біреуін таңдап, аяқтаңыз, өйткені жартылай қайта нөмірленген желі екі нұсқаның кез келгенінен де нашар.

Қайсысын таңдасаңыз да, түпнұсқа және ұсынылған мекенжайдың екеуін де құжаттаңыз, өйткені кейінгі әрбір ақаулықты жою әңгімесіне екеуі де қажет.

Қайтару жолы жоқ айналып өту — айналып өту емес.

Маршруттар матрицасын қабылдау тесті ретінде пайдаланыңыз

Матрицамен аяқтаңыз: жергілікті префикс, қашықтағы префикс, рұқсат етілген қызмет және қайтару шлюзі. Бұл кесте туннель көтерілгенде қабылдау тесті болып табылады, және ол келесі инженер оқитын құжат та. Таңдалған ішкі желілердегі нақты хосттардан сынаңыз, шлюздерден емес.

Туннель мекенжайлары арасындағы ping туннельдің бар екенін дәлелдейді, ал оның артындағы мекенжай жоспары туралы ештеңе айтпайды.

Матрицаны туннель конфигурациясымен бірге ұстаңыз, және келесі сайт қосылуы жадтан емес, деректерден басталады. Жоспар болған кезде strongSwan-ның қайта жіберу нұсқаулығы шлюз жағын қамтиды.