Сайттар кагылышпас мурун жеке VPN дарек диапазондорун пландаңыз
Кайчылашкан жеке диапазондор каалаган туннелге чейин маршруттоону бузат. Префикстерди тизмектеп, кардар пулдарын сайт LANдарынан өзүнчө өлчөп, алыскы тараптан текшериңиз.
Экөө тең 192.168.1.0/24 колдонгон эки сайт ар бири интернетке жете алат жана бири-бирине жете албайт. Шлюз ката чыгарбайт; ал ошол префикс үчүн бир маршрут орнотуп, ар бир пакетти аны биринчи талап кылган өнөктөшкө жөнөтөт. Кол алышууда, шифрлер тизмесинде же интерфейс метрикасында кайсы өнөктөш туура эмес экени айтылбайт. Дарек пландоо — дизайндын муну бирөө туташпай туруп чечкен бөлүгү.
Жетүүгө тийиш болгон ар бир мейкиндикти тизмектеңиз
Маршрутталуучу диапазондорду жазыңыз, сиз конфигурациялап жаткандарды гана эмес. Бул сайт LANдары, VPN кардар пулдары, булут ички тармактары, башкаруу жана тилке сыртындагы тармактар, лаборатория сегменттери жана колдонуучулар үйдөн көбүнчө туташкан тармактарды билдирет. 192.168.1.0/24 катары жеткирилген керектөөчү маршрутизатор гипотетикалык эмес жана ошол эле префикс мейманканалар менен конференц-залдарда кездешет. Тизме — префикс, ээси жана максаты бар таблица жана ошол диапазонду эки жолу берүүгө жол бербеген жалгыз документ.
| Prefix | Purpose | Owner |
|---|---|---|
| 10.20.0.0/16 | site LANs | network team |
| 10.20.100.0/22 | VPN client pool | remote access |
| 10.20.200.0/24 | management | operations |
Кийинки жылы күткөн префикстерди кошуңуз, анткени бүгүнкүнү гана камтыган план биринчи жаңы сайтта ишке ашпайт. Ар бир сапта аны ким өзгөртө аларын белгилеңиз, ага ким ээлик кыларын гана эмес.
Дал кайра колдонуу муну кыйындатат: жеке мейкиндик чектелүү жана ар бир уюм 10.0.0.0/8ди өзүнүкү деп эсептейт. План келечектеги конок LAN сиздин префикстериңиздин бирине түшпөйт деп убада бере албайт, ошондуктан дизайн бул болгондо эмне болорун айтышы керек. Жумуштун көп бөлүгүн эки эреже аткарат. Кардар пулдарын жыйынтыктоого боло турган бир үзгүлтүксүз блокко жайгаштырыңыз жана башка команда маршруттап жаткан диапазонду эч качан бөлбөңүз. Калганынын баары бирөө жаңыртып турган жазуу.
Эмне үчүн кайчылашуу маршруттоо таблицасын жеңет
Маршрут — префикс жана кийинки секирик, ал эми кайра жөнөтүү эң узун дал келген префиксти тандайт. Эки өнөктөш тең бирдей 192.168.1.0/24дү талап кылганда, таблицада ага бир жазуу болот, ошондуктан эки сайттын тең трафиги бир туннелден чыгат. Экинчи сайт туура эмес конфигурацияланган эмес; ал жеткиликсиз, анткени биринчиси ошол эле даректерге жооп берет. Эч бир метрика аларды ажырата албайт, анткени дал келүү метрикаларга кайрылганга чейин болот.
Ишке ашпоо асимметриялуу жана аны туура эмес окуу оңой. A сайтынын хосттору шлюзга жана айрым кызматтарга жетет, ал эми B сайтынын хосттору эч нерсеге жооп бербейт, журнал эки багытта тең соо туннелди көрсөтөт. Бул үлгү — дарек кагылышуусу, аутентификация же брандмауэр бузулушу эмес, жана аны ырастоо үчүн тизме менен салыштырылган бир таблица үзүндүсү керек.
Кардар пулун жана сайт диапазондорун атайын өлчөңүз
VPN кардар пулу — шлюз бир убакта бир дарек бере турган диапазон, ошондуктан анын өлчөмү бир убактагылуулукту чектейт. /24тө 254 колдонулуучу дарек бар, бул кичинекей топ үчүн мол жана контейнерлерди иштеткен филиал үчүн тар; /22 жеке мейкиндикте кошумча эч нерсе турбайт жана талашты жоятот. Пулду үзгүлтүксүз жана ар бир сайт LANынан алыс кармаңыз, ошентип кардарлар тарапка жыйынтык маршрут эч качан сайтты жутуп кетпейт. Пул бош болсо да диапазонду коргоп коюңуз, анткени жазылбаган диапазон — кийинки инженер бөлө турган диапазон.
Сайттар күтүлгөн хосттор жана өсүү үчүн өлчөнгөн диапазондорду алышат, таза жыйынтыкталуучу чекке тегизделген. Бөлүштүрүүлөр ортосундагы атайын боштуктар эч нерсе турбайт жана кийинки бириктирүүгө орун сатып алат.
Андан кийин адамдар унутуучу багытты текшериңиз: кайтуу жолу. Ар бир сайт маршрутизаторуна кардар пулуна маршрут, ал эми концентраторго өзү тейлеген ар бир сайт префиксине маршрут керек. Пулга кайтуу жолу жок тыкан префикс таблицасы дагы эле бузулган дизайн, ал эми симптом — эч нерсеге жооп бербеген бир багыттуу байланыш. Эки багытты бир таблицада кармаңыз жана сайт кошулган сайын аны карап чыгыңыз.
Котормо жана кайра номерлөө ар башка маселелерди чечет
Кайчылашуу мурунтан бар болсо, эки ак ниеттүү вариант жана бир ак ниетсиз вариант бар. Кайра номерлөө кагылышууну биротоло жоёт жана тейлөө терезесин жана унутуп калган ар бир катуу коддолгон даректи талап кылат. Дарек котормосу бир тараптын жеке диапазонун туннелдин четине башка диапазонго чагылдырат, бул эки сайтты тең тийбестен калтырат, бирок абалды кошот, даректерди камтыган протоколдорду бузат жана журналдарды окууну кыйындатат. Ак ниетсиз вариант — бир серверге хост маршруту, ал бир сыноодон өтүп, калганынын баарында ишке ашпайт.
Көзөмөл жана өмүр бою тандоо. Сизге таандык жана пландай алган сайт кайра номерлөө жолуна кирет; тийе албаган өнөктөш тармагы, бир колдонмо үчүн колдонулган, документтелген чагылдыруу менен котормого талапкер. Ошол чагылдырууну жазып коюңуз, анткени конфигурация файлынын ичинде гана бар котормо файл алмаштырылган учурда жок болот.
Жайгаштыруудан мурун алыскы тараптан текшериңиз
Шлюзду жайгаштырбаган тармактан текшериңиз, анткени шлюздун өз LANы маршруттоо каталарынын көбүн жашырат. Жөнөкөй үй маршрутизаторунун артына кардар туташтырыңыз, анан ар бир сайттагы кызматка жана кардар пулунун ичиндеги бир кызматка жетиңиз. Тескери багытты да текшериңиз, сайт хостосунан кардарга, анткени кайтуу жолдору көз карандысыз ишке ашпайт. Шлюзду гана пинг кылган сыноо туннелдин иштеп жатканын далилдейт жана андан ашык эч нерсени эмес.
Диапазондорду, ээлерин жана котормо чагылдырууларын бир жалпы жазууда кармаңыз, аны кийинки сайт бир нерсе бөлүштүрүүдөн мурун окуйт. Сайт кошулганда аны карап чыгыңыз жана документтелбеген диапазонду күтүүсүздүк эмес, кемчилик деп караңыз.
Жазуу — натыйжанын өзү. Үч адамдын эсинде жашаган план алардын бири эс алууда болгондо биринчи жолу ишке ашпайт, ал эми өндүрүштө табылган кайчылашуу таблицанын баасынан кымбатка түшөт.