Wéi een den Adressraum fir e Standuert-zu-Standuert-VPN auswielt

Frot wéi grouss d’VPN-Subnetz soll sinn an déi éierlech Äntwert ass, datt et véier verschidde Subnetzer an der Fro ka ginn. En Standuert-VPN kann Transportendpunkten, nummeréiert Tunnelverbindungen, d’geschützt LAN-Prefixen an, op geréierten Gateways, en Infrastruktur-Subnetz enthalen, dee vum Fournisseur reservéiert gëtt. An engem bestëmmten Design gëtt et just een oder zwee dovu. Si aus der Zuel vun den Büroapparater ze bemëssen ass wéi ee Plang mat engem /24 ophalen, deen keen zefriddenstellt.

Benennt déi véier Rolle virun allem wat Dir allergitt

Transportendpunkten sinn d’Adressen, déi zwee Gateways benotzen, fir sech iwwer d’Internet oder eng privat Leitung z’erreechen, an hir Zuel kënnt aus dem Gateway- an Redundanzmodell, net aus dem LAN. Intern Tunnelverbindungen gëtt et just do, wou den Design eng Punkt-zu-Punkt-Schnittstell numeréiert, wat eng policybaséiert IPsec-Konfiguratioun normalerweis net mécht. Geschützt Prefixe sinn déi richteg Büro- oder VPC-Netzer, déi missen routebar sinn, an dee vum Fournisseur reservéierten Subnetz gehéiert zum geréierte Service.

Inventariséiert wat schonn existéiert ier Dir eppes bäisetzt, well dee deieren Feeler hei ass, e Prefix ze benotzen, deen schonn soss enger Plaz gerout’t gëtt. En ale Tunnel aus engem Pilotprojet ass genuch, fir ee Plang ze vergëften. Schreift d’Inventar mat Datume fest, well d’Erënnerung un eng ofgebaut Verbindung méi laang lieft wéi d’Verbindung selwer.

ip -br addr show
ip route show | head -40

Déi zwee Kommandoen ginn d’lokal Vue vun den ugeschlossenen Netzer an de Router, déi alles dobaussen erreechen. Widderhëlt d’Inventar op all Standuert, well ee Plang, deen aus dem Output vun engem Standuert gebaut gouf, mat deem vum nächsten kollidéiert. Sammelt d’Outputen, ier Dir ee eenzege Block allegitt.

Zielt Verbindungen an Topologie, net Apparater

En Design mat aacht Punkt-zu-Punkt-Noper verbraucht aacht Bléck, net een. Bei /30 kascht all Block véier Adressen, fir zwee Hosten ze verbannen, also dréit de Plang zweeandrësseg Adressen fir siechzéng notzbar Endpunkten, an dat ass d’Zuel, déi de Budget muss halen. Eng Plattform, déi /31-Verbindungen ënnerstëtzt, verbraucht d’Halschent, awer just wann déi zwou Säiten an de Service sech op deem Modell eens sinn. Ronnt de Budget éischter erop wéi erof, well e Block méi spéit ze verklengeren heescht, lieweg Verbindungen nei ze nummeréieren.

Restriktioune vum Fournisseur schloen allgemeng Praxis. En dokumentéierten internen Tunnelberäich kann /30 verlaangen, och do wou /31 op Ären Routere funktionéiert, an e geréierte Gateway kann eng bestëmmte Mask fir säin eegene Subnetz verlaangen. Liest d’Serviceufuerderung, ier Dir eng Faustregel vun enger anerer Plattform uwent.

En Multipunkt-Overlay ännert d’Rechnung nach eng Kéier: eng Adress pro Gateway, woubäi den Overlay d’Erreechbarkeet tëschent hinnen hëlt. Entscheet, wéi eng Topologie d’Implementatioun tatsächlech benotzt, ier Dir Standuerte mat enger Blockgréisst multiplizéiert.

Wuesstem verdéngt seng eegen Linn am Plang. En zesummenhängenden Infrastrukturberäich ze reservéieren ass raisonnabel, an och ze notéieren, wéi eng méi kleng Allokatiounen dran sinn, sou datt den nächsten Ingenieur d’Reservatioun net als eng eenzeg Broadcast-Domän liest.

Halt de Gateway-Subnetz aus dem LAN-Pool eraus

D’Infrastruktur vun engem geréierte Gateway ass kee Client-Pool. D’Adressen an engem reservéierten Gateway-Subnetz hosten d’eegen Komponente vum Service, an d’Remote-Mataarbechter gräifen ni drop zou. Dee Subnetz aus der Zuel vun de Benotzer ze bemëssen ass e Kategoriefehler, deen entweder e grousse Beräich verschwendet oder de Gateway hungere léisst.

Datselwecht gëllt fir Tunnelberäicher op Cloud-VPN-Verbindungen, wou de Fournisseur pro Tunnel en klengen internen Beräich fir säin eegene Gebrauch allocéiert. Dee Beräich ass net do, wou Är Filialserver wunnen, an et ass net Ären, en ze verdeelen.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

D’Bausseadressen ze lëschten bestätegt, wat de Fournisseur allocéiert huet a wéi en redundanten Tunnel just aktiv ass. Et ass méi séier wéi en Designdokument ze liesen, dat geschriwwe gouf, ier d’Verbindung existéiert huet.

Notéiert Roll, Eegentümer a Wuesstem fir all Prefix

E Plang, deen de Kontakt mat der Operatioun iwwersteet, seet fir all Prefix, wéi eng Roll en huet, wien dat wäit Enn vergëtt a wéi vill Plaz nach ass. Ouni d’Eegentümer-Feld allocéieren zwee Teamen deeselwechte /24 am selwechten Trimester, an d’Kollisioun weist sech eréischt, wann den Tunnel eropkënnt.

Halt dës Beräicher fräi vu Heem- a Filialprefixen, déi iwwer aner Tunnele kommen, well iwwerlappend Adressraum ass de gewéinleche Grond, firwat eng Standuert-zu-Standuert-Verbindung erfollegräich verhandelt an duerno keen Traffic duerchléisst.

Intern Verbindungsadressen ze verginn annoncéiert d’LANen dohannert net. Router oder Traffic-Selectoren, Retourweeër an Zougrëssregelen si getrennt Aarbechtspunkten, an de Plang sollt dat soen, amplaz ze implizéieren, datt eng numeréiert Schnittstell d’Routing fir Iech mécht.