Сайттар ортосундагы VPN алдында ички тармактарды пландаштырыңыз: кайра номурлаңыз же которуңуз

Эки кеңсе тең 192.168.1.0/24 колдонот, анткени эч ким башкача пландаштырган эмес, ал эми туннель муну чечет деп күтүлүүдө. Ал муну кыла албайт: маршрутизатор бир эле жеке даректи эки башка жерди билдирүүгө мажбурлай албайт. Муну болтурбоо үчүн жасалган иш туннелдин биринчи параметри киргизилгенге чейин аткарылат.

Ар бир диапазонду тизмелеңиз, унутулгандарын да кошуп

LAN-дарды, сервер сегменттерин, алыскы кирүү клиент пулдарын, булут VPC диапазондорун жана хосттор жетүүгө тийиш болгон ар кандай контейнердик же каптоочу тармактарды чогултуңуз. Клиент пулдары — адамдар унутуп калган нерселер, жана алар кеңсе диапазону менен таң калыштуу түрдө көп кайталанат, анткени экөө тең бирдей демейки мааниден тандалган. Башкаруу тармагын жана тилкенин сыртындагы ар кандай сегментти кошуңуз.

Ээсин, шлюзду, максатын жана префикстин башка сайттан жеткиликтүү болушу керектигин жазыңыз. Туннелден эч качан өтпөшү керек болгон префикс уникалдуу болушу шарт эмес, жана муну билүү кайра номурлоо ишин азайтат.

IPv6-ны өзүнчө жасаңыз, анткени анын планы жана каптоолору көз карандысыз.

Тааныш даректерди эмес, префикстерди салыштырыңыз

Хост даректери ар башка болгон эки тармак дагы эле капталышы мүмкүн, анткени каптоо — маскалардын касиети, адамдар эстеп калган сандардын касиети эмес. 10.20.0.0/16 ичинде 10.20.30.0/24 бар, бирөө аны катуу айтса да, айтпаса да. Толук префикс жуптарын салыштырыңыз жана агрегаттарды алардын ичиндеги кичирээк тармактарга каршы текшериңиз. Ошондуктан бул текшерүү бирөөнүн башында эмес, таблицада болушу керек.

Ошол эле текшерүү VPN-дын өз клиент пулуна жана киргизүүнү пландап жаткан ар кандай которулган диапазонго тиешелүү, анткени кагылышкан которулган диапазон баштапкы каптоодон да жаман.

Маскалар менен префикстер таблицасы жетиштүү; маскасыз диаграмма жетишсиз.

Чындыгында эмне өтүшү керектигин чечиңиз

Бир сайтта отуз ички тармак болушу мүмкүн, ал эми бир кызмат тармагына алыскы кирүү керек. Ошол талаптан баштаңыз жана ага керектүү нерсени гана жарыялаңыз, анткени кичирээк жарыялар жана тиешелүү кирүү эрежелерин карап чыгуу оңой жана кокустан кеңейтүү кыйыныраак. Колдонулуп жаткан ар бир жеке диапазонду жарыялоо — туннелди көпүрөгө айландырган адат. Жарыя канчалык тар болсо, келечектеги катанын таасир радиусу ошончолук кичине.

Жеке DNS максаттуу клиенттер жете ала турган даректерди кайтарышы керек, ошондуктан жарыяланбаган же капталган диапазонду көрсөткөн ат издөө ийгиликтүү болсо да бузук бойдон калат.

Кирүү тизмесин туннелдин конфигурациясына чейин жазыңыз, ал ийгиликсиз болгондон кийин эмес.

Кайра номурлаңыз же которуңуз, жана баасын билиңиз

Бир тармакты кайра номурлоо адатта эң айкын узак мөөнөттүү чечим, жана ал резервдөөлөргө, түзмөктөргө, DNS-ке, файрвол эрежелерине жана конфигурацияга дареги киргизилген бардык нерсеге тиет. Кирүү диапазонун которуу — кайра номурлоо практикалык болбогон учурдагы альтернатива, жана ал булактын инсандыгына жана даректерди пайдалуу жүктөмгө киргизген протоколдор классына турат. Бирөөнү тандап бүтүрүңүз, анткени жарым кайра номурланган тармак эки варианттын кайсынысынан да жаман.

Кайсынысын тандасаңыз да, баштапкы жана сунушталган даректин экөөнү тең документтештириңиз, анткени кийинки ар бир көйгөйдү чечүү сүйлөшүүсүнө экөө тең керек.

Кайтуу жолу жок айланып өтүү — айланып өтүү эмес.

Маршруттар матрицасын кабыл алуу тести катары колдонуңуз

Матрица менен бүтүрүңүз: жергиликтүү префикс, алыскы префикс, уруксат берилген кызмат жана кайтуучу шлюз. Бул таблица туннель көтөрүлгөндө кабыл алуу тести болуп саналат, жана ал кийинки инженер окуй турган документ да. Тандалган ички тармактардагы чыныгы хосттордон сынаңыз, шлюздардан эмес.

Туннел даректеринин ортосундагы ping туннелдин бар экенин далилдейт, ал эми анын артындагы дарек планы жөнүндө эч нерсе айтпайт.

Матрицаны туннелдин конфигурациясы менен кармаңыз, жана кийинки сайт кошуу эстутумдан эмес, маалыматтардан башталат. План болгондон кийин strongSwan-дын өткөрүп берүү боюнча колдонмосу шлюз тарабын камтыйт.