사이트 VPN 전에 서브넷을 계획하세요: 재번호 부여 또는 주소 변환

두 사무실이 모두 192.168.1.0/24를 쓰는 것은 아무도 다르게 계획하지 않았기 때문이며, 터널이 해결해 주리라 기대합니다. 그럴 수 없습니다. 라우터는 같은 사설 주소가 두 개의 다른 장소를 뜻하게 만들 수 없습니다. 이를 막는 작업은 첫 터널 매개변수를 입력하기 전에 이루어집니다.

잊고 있던 범위까지 모두 목록화하세요

LAN, 서버 세그먼트, 원격 접속 클라이언트 풀, 클라우드 VPC 범위, 그리고 호스트가 도달해야 하는 모든 컨테이너 또는 오버레이 네트워크를 모으세요. 클라이언트 풀이야말로 사람들이 잊는 항목이며, 둘 다 같은 기본값에서 골랐기 때문에 사무실 범위와 놀랄 만큼 자주 겹칩니다. 관리 네트워크와 대역 외 세그먼트도 포함하세요.

소유자, 게이트웨이, 목적, 그리고 그 프리픽스가 상대 사이트에서 도달 가능해야 하는지를 기록하세요. 터널을 절대 넘을 필요가 없는 프리픽스는 고유할 필요가 없으며, 이를 아는 것만으로 재번호 작업이 줄어듭니다.

IPv6는 별도로 하세요. 계획과 중복이 독립적이기 때문입니다.

익숙한 주소가 아니라 프리픽스를 비교하세요

호스트 주소가 다른 두 네트워크도 여전히 겹칠 수 있습니다. 중복은 마스크의 속성이지 사람들이 기억하는 숫자의 속성이 아니기 때문입니다. 10.20.0.0/16에는 10.20.30.0/24이 포함되며, 누가 소리 내어 말하든 말든 마찬가지입니다. 전체 프리픽스 쌍을 비교하고, 집계가 그 안의 더 작은 네트워크와 충돌하지 않는지 확인하세요. 그래서 이 확인은 누군가의 머릿속이 아니라 스프레드시트에 속합니다.

같은 확인은 VPN 자체의 클라이언트 풀과 도입하려는 모든 변환 범위에도 적용됩니다. 충돌하는 변환 범위는 원래의 중복보다 더 나쁘기 때문입니다.

마스크가 있는 프리픽스 표로 충분합니다. 마스크 없는 다이어그램으로는 부족합니다.

실제로 무엇이 통과해야 하는지 정하세요

한 사이트에 서른 개의 서브넷이 있어도 원격 접속이 필요한 서비스 네트워크는 하나일 수 있습니다. 그 요구에서 시작해 필요한 것만 광고하세요. 더 작은 광고와 그에 맞는 접속 규칙은 검토하기 쉽고 실수로 넓히기 어렵습니다. 사용 중인 모든 사설 범위를 광고하는 것은 터널을 브리지로 만드는 습관입니다. 광고가 좁을수록 미래의 실수가 미치는 영향 범위도 작아집니다.

사설 DNS는 의도한 클라이언트가 도달할 수 있는 주소를 반환해야 하므로, 광고되지 않았거나 겹치는 범위를 가리키는 이름은 조회가 성공해도 깨진 채로 남습니다.

접속 목록은 터널 구성 전에 작성하세요. 실패한 뒤가 아닙니다.

재번호를 매기거나 변환하고, 비용을 아세요

한 네트워크의 재번호 부여는 대개 가장 명확한 장기 해결책이며, 예약, 장치, DNS, 방화벽 규칙, 그리고 구성에 주소가 박혀 있는 모든 것에 영향을 줍니다. 재번호가 비현실적일 때의 대안이 접속 범위 변환이며, 이는 출처 정체성과 함께 주소를 페이로드에 내장하는 부류의 프로토콜 비용을 치릅니다. 하나를 골라 끝내세요. 절반만 재번호가 된 네트워크는 두 선택지 어느 것보다도 나쁩니다.

무엇을 고르든 원래 주소와 제시된 주소를 모두 문서화하세요. 이후의 모든 문제 해결 대화에 둘 다 필요합니다.

돌아오는 경로가 없는 우회로는 우회로가 아닙니다.

경로 매트릭스를 수용 테스트로 사용하세요

매트릭스로 마무리하세요: 로컬 프리픽스, 원격 프리픽스, 허용 서비스, 반환 게이트웨이. 이 표가 터널이 올라올 때의 수용 테스트이며, 다음 엔지니어가 읽을 문서이기도 합니다. 게이트웨이가 아니라 선택한 서브넷의 실제 호스트에서 시험하세요.

터널 주소 사이의 ping은 터널이 존재함을 증명할 뿐, 그 뒤의 주소 계획에 대해서는 아무것도 말하지 않습니다.

매트릭스를 터널 구성과 함께 보관하세요. 다음 사이트 추가는 기억이 아니라 데이터에서 시작됩니다. 계획이 있으면 strongSwan 전달 가이드가 게이트웨이 쪽을 다룹니다.