Сайттар ортосундагы VPN үчүн дарек мейкиндигин кантип өлчөө керек

VPN ички тармагы канчалык чоң болушу керек деп сураңыз, ал эми чын жооп — суроонун ичинде төрт түрдүү ички тармак болушу мүмкүн. Сайт VPN’и транспорттук акыркы чекиттерди, номерленген туннель байланыштарын, корголгон LAN префикстерин жана башкарылуучу шлюздерде провайдер бөлүп койгон инфраструктуралык ички тармакты камтышы мүмкүн. Белгилүү долбоордо алардын бири же экөө гана болот. Аларды кеңсе түзмөктөрүнүн санынан өлчөө — пландын эч кимди канааттандырбаган /24 менен аяктоо жолу.

Бир нерсе бөлүштүрүүдөн мурун төрт ролду атаңыз

Транспорттук акыркы чекиттер — эки шлюз интернет же жеке линия аркылуу бири-бирине жетүү үчүн колдонгон даректер, алардын саны LAN’дан эмес, шлюз жана резервдик моделден келет. Ички туннель байланыштары долбоор чекит-чекит интерфейсин номерлеген жерде гана болот, ал эми саясатка негизделген IPsec конфигурациясы муну адатта кылбайт. Корголгон префикстер — маршрутталуучу чыныгы кеңсе же VPC тармактары, ал провайдер бөлгөн ички тармак башкарылуучу кызматка таандык.

Бир нерсе кошуудан мурун бар нерсени эсепке алыңыз, анткени бул жердеги кымбат ката — башка жерде маршрутталып жаткан префиксти кайра колдонуу. Пилоттук долбоордон калган эски туннель планды бузууга жетет. Эсепти күндөр менен жазып коюңуз, анткени токтотулган байланыш тууралуу эс байланыштын өзүнөн узак жашайт.

ip -br addr show
ip route show | head -40

Бул эки буйрук туташкан тармактардын жана алардын артындагы бардык нерсеге жетүүчү маршруттардын жергиликтүү көрүнүшүн берет. Эсепти ар бир сайтта кайталаңыз, анткени бир сайттын чыгышынан курулган план кийинкисинин чыгышы менен кагылышат. Бир блок бөлүштүрүүдөн мурун чыгыштарды чогултуңуз.

Түзмөктөрдү эмес, байланыштарды жана топологияны санаңыз

Сегиз чекит-чекит кошуналыгы бар долбоор сегиз блок сарптайт, бир эмес. /30 шартында ар бир блок эки хостту туташтыруу үчүн төрт дарек сарптайт, ошондуктан план он алты пайдаланууга жарактуу акыркы чекит үчүн отуз эки дарек алып жүрөт, жана бюджет көтөрүшү керек болгон сан ошол. /31 байланыштарын колдогон платформа жарымын сарптайт, бирок эки тарап жана кызмат ушул модель менен макулдашканда гана. Бюджетти төмөн эмес, жогору тегеректеңиз, анткени блокту кийин кичирейтүү иштеп жаткан байланыштарды кайра номерлөөнү билдирет.

Провайдердин чектөөлөрү жалпы практикадан басымдуу. Документтелген ички туннель диапазону маршрутизаторлоруңузда /31 иштеген жерде да /30 талап кылышы мүмкүн, ал эми башкарылуучу шлюз өз ички тармагы үчүн белгилүү маска талап кылышы мүмкүн. Кызмат талабын башка платформадан алынган эрежени колдонуудан мурун окуп чыгыңыз.

Көп чекиттүү жабуу арифметиканы дагы өзгөртөт: шлюзга бир дарек, ал эми алардын ортосундагы жеткиликтүүлүктү жабуу камсыз кылат. Сайттарды блок өлчөмүнө көбөйтүүдөн мурун ишке ашыруу чындыгында кайсы топологияны колдонорун чечиңиз.

Өсүү планда өз сапчасына татыктуу. Бүтүн инфраструктуралык диапазонду бөлүп коюу орундуу, ошондой эле анын ичинде кайсы кичирээк бөлүштүрүүлөр бар экенин жазуу да, кийинки инженер бөлүнгөн диапазонду бир жарыялоо домени деп окубашы үчүн.

Шлюздун ички тармагын LAN бассейинин сыртында кармаңыз

Башкарылуучу шлюздун инфраструктурасы кардар бассейини эмес. Бөлүнгөн шлюз ички тармагындагы даректер кызматтын өз компоненттерин жайгаштырат, ал эми алыскы кызматкерлер алардан эч качан албайт. Бул ички тармакты колдонуучулардын санынан өлчөө — чоң диапазонду текке кетирген же шлюзду ачкалтып койгон категория катасы.

Ошол эле булуттук VPN байланыштарындагы туннель диапазондоруна тиешелүү, мында провайдер ар бир туннель үчүн өз пайдалануусуна кичине ички диапазон бөлөт. Ал диапазон филиал серверлериңиз жайгашкан жер эмес жана аны бөлүштүрүү сизге таандык эмес.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Сырткы даректерди тизмелөө провайдер эмнени бөлгөнүн жана кайсы резервдик туннель азыр активдүү экенин ырастайт. Бул байланыш пайда боло электе жазылган долбоордук документти окугандан тезирээк.

Ар бир префикс үчүн ролду, ээсин жана өсүүнү жазыңыз

Иштетүү менен кагылышуудан аман өткөн план ар бир префикс үчүн анын кандай ролду ойной турганын, алыскы учун ким бөлөөрүн жана канча кор калганын көрсөтөт. Ээ талаасы жок болсо, эки команда бир кварталда бирдей /24 бөлүшөт, ал эми кагылышуу туннель көтөрүлгөндө гана байкалат.

Бул диапазондорду башка туннелдер аркылуу келген үй жана филиал префикстеринен алыс кармаңыз, анткени кабатташкан дарек мейкиндиги сайттар ортосундагы байланыштын ийгиликтүү келишип, анан эч кандай трафик өткөрбөшүнүн адаттагы себеби.

Ички байланыш даректерин бөлүштүрүү алардын артындагы LAN тармактарын жарыялабайт. Маршруттар же трафик селекторлору, кайтаруу жолдору жана кирүү эрежелери өзүнчө жумуш пункттары, ал эми план номерленген интерфейс маршруттоону сиз үчүн аткарат деп кыйытпоонун ордуна ушуну айтышы керек.