Сайттар арасындағы VPN үшін мекенжай кеңістігін қалай өлшеу керек

VPN ішкі желісі қаншалықты үлкен болуы керек деп сұраңыз, ал адал жауап — сұрақтың ішінде төрт түрлі ішкі желі болуы мүмкін. Сайт VPN-і тасымалдау соңғы нүктелерін, нөмірленген туннель байланыстарын, қорғалған LAN префикстерін және басқарылатын шлюздерде провайдер бөліп қоятын инфрақұрылым ішкі желісін қамтуы мүмкін. Нақты жобада олардың тек біреуі немесе екеуі ғана болады. Оларды кеңсе құрылғыларының санынан өлшеу — жоспардың ешкімді қанағаттандырмайтын /24-пен аяқталу жолы.

Бірдеңе бөлмес бұрын төрт рөлді атаңыз

Тасымалдау соңғы нүктелері — екі шлюз интернет немесе жеке желі арқылы бір-біріне жету үшін қолданатын мекенжайлар, ал олардың саны LAN-нан емес, шлюз және резервтік модельден келеді. Ішкі туннель байланыстары жоба нүкте-нүкте интерфейсін нөмірлейтін жерде ғана болады, ал саясатқа негізделген IPsec конфигурациясы мұны әдетте жасамайды. Қорғалған префикстер — маршрутталатын нақты кеңсе немесе VPC желілері, ал провайдер бөлген ішкі желі басқарылатын қызметке тиесілі.

Бірдеңе қоспас бұрын бар нәрсені түгендеңіз, өйткені бұл жердегі қымбат қате — басқа жерде маршрутталып жатқан префиксті қайта қолдану. Пилоттық жобадан қалған ескі туннель жоспарды бүлдіруге жетеді. Түгендеуді күндермен жазып қойыңыз, өйткені тоқтатылған байланыс туралы естелік байланыстың өзінен ұзақ өмір сүреді.

ip -br addr show
ip route show | head -40

Осы екі команда қосылған желілердің және олардың артындағы барлық нәрсеге жететін маршруттардың жергілікті көрінісін береді. Түгендеуді әр сайтта қайталаңыз, өйткені бір сайттың шығысынан құрылған жоспар келесісінің шығысымен соқтығысады. Бір блок бөлмес бұрын шығыстарды жинаңыз.

Құрылғыларды емес, байланыстар мен топологияны санаңыз

Сегіз нүкте-нүкте көршілестігі бар жоба сегіз блок жұмсайды, бір емес. /30 кезінде әр блок екі хостты қосу үшін төрт мекенжай жұмсайды, сондықтан жоспар он алты пайдалануға жарамды соңғы нүкте үшін отыз екі мекенжай алып жүреді, және бюджет көтеруі тиіс сан осы. /31 байланыстарын қолдайтын платформа жартысын жұмсайды, бірақ тек екі жақ пен қызмет осы модельмен келіскенде ғана. Бюджетті төмен емес, жоғары дөңгелектеңіз, өйткені блокты кейін кішірейту жұмыс істеп тұрған байланыстарды қайта нөмірлеу дегенді білдіреді.

Провайдер шектеулері жалпы практикадан басым. Құжатталған ішкі туннель ауқымы маршрутизаторларыңызда /31 жұмыс істеген жерде де /30 талап етуі мүмкін, ал басқарылатын шлюз өз ішкі желісі үшін нақты маска талап етуі мүмкін. Қызмет талабын басқа платформадан алынған ережені қолданбас бұрын оқып шығыңыз.

Көпнүктелі жабу арифметиканы тағы өзгертеді: шлюзге бір мекенжай, ал олардың арасындағы қолжетімділікті жабу қамтамасыз етеді. Сайттарды блок өлшеміне көбейтпес бұрын іске асыру шын мәнінде қай топологияны қолданатынын шешіңіз.

Өсу жоспарда өз жолына лайық. Тұтас инфрақұрылым ауқымын бөліп қою орынды, сол сияқты оның ішінде қандай кішірек бөлулер бар екенін жазу да, келесі инженер бөлінген ауқымды бір кеңіту домені деп оқымасын.

Шлюз ішкі желісін LAN пулынан тыс ұстаңыз

Басқарылатын шлюз инфрақұрылымы клиент пулы емес. Бөлінген шлюз ішкі желісіндегі мекенжайлар қызметтің өз компоненттерін орналастырады, ал қашықтан жұмыс істейтіндер олардан ешқашан алмайды. Бұл ішкі желіні пайдаланушылар санынан өлшеу — үлкен ауқымды ысырап ететін немесе шлюзді аш қалдыратын санат қатесі.

Дәл солай бұлтты VPN байланыстарындағы туннель ауқымдарына да қатысты, онда провайдер әр туннель үшін өз пайдалануына шағын ішкі ауқым бөледі. Ол ауқым филиал серверлеріңіз тұратын орын емес және оны тарату сізге тиесілі емес.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Сыртқы мекенжайларды тізімдеу провайдердің нені бөлгенін және қай резервтік туннель қазір белсенді екенін растайды. Бұл байланыс пайда болмай тұрын жазылған жобалық құжатты оқығаннан жылдамырақ.

Әр префикс үшін рөлді, иесін және өсуді жазыңыз

Пайдаланумен жанасудан аман өтетін жоспар әр префикс үшін оның қандай рөл атқаратынын, алыс ұшты кім бөлетінін және қанша қор қалғанын көрсетеді. Ие өрісі болмаса, екі команда бір тоқсанда бірдей /24 бөледі, ал қақтығыс туннель көтерілгенде ғана байқалады.

Бұл ауқымдарды басқа туннельдер арқылы келетін үй және филиал префикстерінен алыс ұстаңыз, өйткені қабаттасатын мекенжай кеңістігі сайттар арасындағы байланыстың сәтті келісіп, кейін ешқандай трафик өткізбеуінің әдеттегі себебі.

Ішкі байланыс мекенжайларын бөлу олардың артындағы LAN желілерін жария етпейді. Маршруттар немесе трафик селекторлары, қайтару жолдары және кіру ережелері бөлек жұмыс баптары, ал жоспар нөмірленген интерфейс маршруттауды сіз үшін жасайды деп меңзеудің орнына соны айтуы керек.