Suplanuokite potinklius prieš VPN tarp vietų: pernumeruokite arba išverskite

Du biurai abu naudoja 192.168.1.0/24, nes niekas neplanavo kitaip, o iš tunelio tikimasi, kad jis tai sutvarkys. Negali: maršrutizatorius negali padaryti, kad tas pats privatus adresas reikštų dvi skirtingas vietas. Darbas, kuris to išvengia, atliekamas prieš įvedant pirmąjį tunelio parametrą.

Suinventorizuokite kiekvieną diapazoną, įskaitant pamirštus

Surinkite LAN tinklus, serverių segmentus, nuotolinės prieigos klientų telkinius, debesijos VPC diapazonus ir bet kokius konteinerių ar perdangos tinklus, kuriuos turi pasiekti mazgai. Klientų telkiniai yra tie, kuriuos žmonės pamiršta, ir jie stebėtinai dažnai persidengia su biuro diapazonu, nes abu buvo pasirinkti iš tos pačios numatytosios reikšmės. Įtraukite valdymo tinklą ir bet kurį už juostos esantį segmentą.

Užrašykite savininką, šliuzą, paskirtį ir ar prefiksas turi būti pasiekiamas iš kitos vietos. Prefiksas, kuriam niekada nereikia kirsti tunelio, neturi būti unikalus, ir tai žinant pernumeravimo darbas sumažėja.

IPv6 darykite atskirai, nes jo planas ir persidengimai nepriklausomi.

Palyginkite prefiksus, o ne pažįstamus adresus

Du tinklai su skirtingais mazgų adresais vis tiek gali persidengti, nes persidengimas yra kaukių savybė, o ne skaičių, kuriuos žmonės atsimena. 10.20.0.0/16 apima 10.20.30.0/24, nesvarbu, ar kas nors tai pasakys garsiai. Palyginkite visas prefiksų poras ir patikrinkite agregatus su mažesniais tinklais jų viduje. Todėl ši patikra priklauso skaičiuoklei, o ne kam nors į galvą.

Ta pati patikra galioja pačiam VPN klientų telkiniui ir bet kuriam verčiamam diapazonui, kurį planuojate įvesti, nes susiduriantis verčiamas diapazonas yra blogiau nei pradinis persidengimas.

Pakanka prefiksų su kaukėmis lentelės; diagrama be kaukių netinka.

Nuspręskite, kas iš tikrųjų turi kirsti

Vieta gali turėti trisdešimt potinklių, o vienam paslaugų tinklui reikia nuotolinės prieigos. Pradėkite nuo to reikalavimo ir skelbkite tik tai, ko jam reikia, nes mažesni skelbimai ir atitinkančios prieigos taisyklės lengviau peržiūrimi ir sunkiau netyčia išplečiami. Skelbti kiekvieną naudojamą privatų diapazoną yra įprotis, paverčiantis tunelį tiltu. Kuo siauresnis skelbimas, tuo mažesnis būsimos klaidos poveikio spindulys.

Privatus DNS turi grąžinti adresus, kuriuos pasiekia numatyti klientai, todėl vardas, rodantis į nepaskelbtą ar persidengiantį diapazoną, lieka sulaužytas net tada, kai paieška pavyksta.

Parašykite prieigos sąrašą prieš tunelio konfigūraciją, o ne po to, kai ji nepavyksta.

Pernumeruokite arba išverskite ir žinokite kainą

Vieno tinklo pernumeravimas paprastai yra aiškiausias ilgalaikis sprendimas, ir jis paliečia rezervacijas, įrenginius, DNS, ugniasienės taisykles ir viską, kas turi adresą įrašytą konfigūracijoje. Prieigos diapazono vertimas yra alternatyva, kai pernumeruoti nepraktiška, ir tai kainuoja šaltinio tapatybę bei protokolų klasę, kurie įterpia adresus į naudingąją apkrovą. Pasirinkite vieną ir užbaikite, nes pusiau pernumeruotas tinklas yra blogiau už bet kurį variantą.

Kad ir ką pasirinktumėte, dokumentuokite ir pradinį, ir pateiktą adresą, nes kiekvienam vėlesniam trikčių šalinimo pokalbiui reikia abiejų.

Apėjimas be grįžimo kelio nėra apėjimas.

Naudokite maršrutų matricą kaip priėmimo testą

Užbaikite matrica: vietinis prefiksas, nuotolinis prefiksas, leidžiama paslauga ir grįžimo šliuzas. Ši lentelė yra priėmimo testas, kai tunelis pakyla, ir tai taip pat dokumentas, kurį skaitys kitas inžinierius. Testuokite iš tikrų mazgų pasirinktuose potinkliuose, o ne iš šliuzų.

Ping tarp tunelio adresų įrodo, kad tunelis egzistuoja, ir nieko apie adresų planą už jo.

Laikykite matricą kartu su tunelio konfigūracija, ir kitas vietos papildymas prasidės nuo duomenų, o ne nuo atminties. Kai planas yra, strongSwan perdavimo vadovas apima šliuzo pusę.