Suplanuokite privačius VPN adresų diapazonus prieš susiduriant svetainėms

Dvi svetainės, kurios abi naudoja 192.168.1.0/24, gali kiekviena pasiekti internetą ir vis tiek nepasiekti viena kitos. Tinklų sietuvas negrąžina klaidos; jis įdiegia vieną maršrutą tam prefiksui ir siunčia kiekvieną paketą tam partneriui, kuris jo paprašė pirmas. Nieko rankos paspaudime, šifrų sąraše ar sąsajos metrikoje nesako, kuris partneris klysta. Adresų planavimas yra ta dizaino dalis, kuri tai išsprendžia prieš kam nors prisijungiant.

Inventorizuokite kiekvieną erdvę, kuri turi būti pasiekiama

Užrašykite diapazonus, kuriuos reikia maršrutizuoti, o ne tik tuos, kuriuos konfigūruojate. Tai reiškia svetainių LAN, VPN klientų telkinius, debesijos potinklius, valdymo ir už juostos ribų esančius tinklus, laboratorijų segmentus ir tinklus, iš kurių naudotojai dažniausiai jungiasi namuose. Vartotojiškas maršrutizatorius, tiekiamas kaip 192.168.1.0/24, nėra hipotetinis, ir tas pats prefiksas pasitaiko viešbučiuose ir konferencijų centruose. Inventorius yra lentelė iš prefikso, savininko ir paskirties, ir tai vienintelis artefaktas, neleidžiantis to paties diapazono išduoti du kartus.

Pridėkite prefiksus, kurių tikitės per ateinančius metus, nes planas, apimantis tik šiandieną, žlunga pirmoje naujoje svetainėje. Kiekvienoje eilutėje pažymėkite, kas gali ją pakeisti, o ne tik kas ją valdo.

Būtent pakartotinis naudojimas tai apsunkina: privati erdvė yra baigtinė ir kiekviena organizacija 10.0.0.0/8 laiko savo. Planas negali pažadėti, kad būsimas svečių LAN nepateks į vieną iš jūsų prefiksų, todėl dizainas turi pasakyti, kas nutinka, kai taip atsitinka. Du reglamentai atlieka didžiąją dalį darbo. Sudėkite klientų telkinius į vieną vientisą bloką, kurį galite apibendrinti, ir niekada neskirkite diapazono, kurį kita komanda jau maršrutizuoja. Visa kita yra įrašas, kurį kas nors palaiko aktualų.

Kodėl persidengimas įveikia maršrutizavimo lentelę

Maršrutas yra prefiksas plius kitas šuolis, o persiuntimas renkasi ilgiausią atitinkantį prefiksą. Kai du partneriai abu reikalauja to paties 192.168.1.0/24, lentelėje tam yra vienas įrašas, todėl abiejų svetainių srautas išeina tuo pačiu tuneliu. Antroji svetainė nėra neteisingai sukonfigūruota; ji nepasiekiama todėl, kad pirmoji atsako tais pačiais adresais. Jokia metrika negali jų atskirti, nes atitikimas įvyksta anksčiau, nei tikrinamos metrikos.

Gedimas yra asimetriškas ir jį lengva perskaityti neteisingai. Svetainės A mazgai pasiekia tinklų sietuvą ir kai kurias paslaugas, o svetainės B mazgai neatsako nieko, ir žurnalas rodo sveiką tunelį abiem kryptimis. Toks modelis yra adresų susidūrimas, o ne autentifikavimo ar ugniasienės gedimas, ir jam patvirtinti reikia vieno lentelės išrašo, palyginto su inventoriumi.

Sąmoningai apskaičiuokite klientų telkinio ir svetainių diapazonų dydį

VPN klientų telkinys yra diapazonas, iš kurio tinklų sietuvas duoda po vieną adresą, todėl jo dydis riboja vienalaikiškumą. /24 talpina 254 naudojamus adresus, o tai dosnu mažai komandai ir ankšta filialui, paleidžiančiam konteinerius; /22 privačioje erdvėje nieko papildomai nekainuoja ir pašalina ginčą. Laikykite telkinį vientisą ir toli nuo kiekvienos svetainės LAN, kad apibendrintas maršrutas klientų link niekada neprarytų svetainės. Rezervuokite diapazoną net tada, kai telkinys tuščias, nes neužrašytas diapazonas yra tas, kurį paskirs kitas inžinierius.

Svetainės gauna diapazonus, apskaičiuotus pagal numatomus mazgus ir augimą, sulygiuotus ties riba, kuri gražiai apibendrinama. Sąmoningi tarpai tarp paskyrimų nieko nekainuoja ir nusiperka vietos vėlesniam agregavimui.

Tada patikrinkite kryptį, kurią žmonės pamiršta: grįžtamąjį kelią. Kiekvienam svetainės maršrutizatoriui reikia maršruto į klientų telkinį, o koncentratoriui reikia maršruto į kiekvieną jo aptarnaujamą svetainės prefiksą. Tvarkinga prefiksų lentelė be kelio atgal į telkinį vis dar yra sulaužytas dizainas, o simptomas yra vienpusis ryšys, kuris į nieką neatsako. Laikykite abi kryptis toje pačioje lentelėje ir peržiūrėkite ją kiekvieną kartą pridėję svetainę.

Vertimas ir pernumeravimas sprendžia skirtingas problemas

Kai persidengimas jau egzistuoja, yra du sąžiningi variantai ir vienas nesąžiningas. Pernumeravimas visam laikui pašalina susidūrimą ir kainuoja priežiūros langą bei kiekvieną pamirštą kietai užkoduotą adresą. Adresų vertimas vienos pusės privatų diapazoną atvaizduoja į kitą diapazoną tunelio krašte, o tai palieka abi svetaines nepaliestas, bet prideda būseną, laužo protokolus, kurie įterpia adresus, ir apsunkina žurnalų skaitymą. Nesąžiningas variantas yra mazgo maršrutas į vieną serverį, kuris praeina vieną testą ir žlunga visame kitame.

Rinkitės pagal kontrolę ir gyvavimo trukmę. Svetainė, kurią valdote ir galite suplanuoti, priklauso pernumeravimo keliui; partnerio tinklas, kurio negalite liesti ir kuris naudojamas vienai programai, yra vertimo kandidatas su dokumentuotu atvaizdavimu. Užrašykite tą atvaizdavimą, nes vertimas, egzistuojantis tik konfigūracijos faile, išnyksta tą akimirką, kai failas pakeičiamas.

Išbandykite iš tolimosios pusės prieš diegdami

Išbandykite iš tinklo, kuriame nėra tinklų sietuvo, nes paties sietuvo LAN slepia daugumą maršrutizavimo klaidų. Prijunkite klientą už įprasto namų maršrutizatoriaus, tada pasiekite paslaugą kiekvienoje svetainėje ir vieną klientų telkinio viduje. Išbandykite ir priešingą kryptį, iš svetainės mazgo į klientą, nes grįžtamieji keliai žlunga nepriklausomai. Testas, kuris tik pinga tinklų sietuvą, įrodo, kad tunelis veikia, ir nieko daugiau.

Laikykite diapazonus, savininkus ir vertimo atvaizdavimus viename bendrame įraše, kurį kita svetainė perskaito prieš ką nors skirdama. Peržiūrėkite jį pridėję svetainę ir nedokumentuotą diapazoną laikykite defektu, o ne netikėtumu.

Įrašas yra rezultatas. Planas, gyvenantis trijų žmonių atmintyje, žlunga pirmą kartą, kai vienas jų atostogauja, o gamyboje rastas persidengimas kainuoja daugiau, nei būtų kainavusi lentelė.