Kaip apskaičiuoti adresų erdvę VPN tarp svetainių

Paklauskite, kokio dydžio turėtų būti VPN potinklis, ir sąžiningas atsakymas yra toks, kad klausime gali būti keturi skirtingi potinkliai. Svetainės VPN gali apimti transporto galinius taškus, numeruotas tunelio sąsajas, apsaugoto LAN tinklo prefiksus ir valdomuose šliuzuose tiekėjo rezervuotą infrastruktūros potinklį. Konkrečiame projekte jų būna tik vienas ar du. Matuoti juos pagal biuro įrenginių skaičių yra būdas, kuriuo planas baigiasi /24, kuris nieko netenkina.

Prieš ką nors skirdami, įvardykite keturis vaidmenis

Transporto galiniai taškai yra adresai, kuriuos du šliuzai naudoja vienas kitam pasiekti per internetą ar privačią liniją, o jų skaičius kyla iš šliuzo ir atleidimo modelio, ne iš LAN tinklo. Vidinės tunelio sąsajos egzistuoja tik ten, kur projekte numeruojama taškas-taškas sąsaja, ko politika pagrįsta IPsec konfigūracija paprastai nedaro. Apsaugoti prefiksai yra tikrieji biuro arba VPC tinklai, kurie turi būti maršrutizuojami, o tiekėjo rezervuotas potinklis priklauso valdomai paslaugai.

Suvarkykite tai, kas jau yra, prieš ką nors pridėdami, nes brangi klaida čia yra pakartotinai naudoti prefiksą, kuris jau maršrutizuojamas kitur. Senas tunelis iš bandomojo projekto pakanka planui sugadinti. Užrašykite inventorių su datomis, nes atmintis apie išmontuotą sąsają gyvena ilgiau nei pati sąsaja.

ip -br addr show
ip route show | head -40

Šios dvi komandos duoda vietinį vaizdą apie prijungtus tinklus ir maršrutus, kurie pasiekia viską už jų. Pakartokite inventorių kiekvienoje svetainėje, nes planas, sudarytas iš vienos svetainės išvesties, susidurs su kitos. Surinkite išvestis prieš skirdami vieną bloką.

Skaičiuokite sąsajas ir topologiją, o ne įrenginius

Projektas su aštuoniomis taškas-taškas kaimynystėmis sunaudoja aštuonis blokus, ne vieną. Esant /30 kiekvienas blokas išleidžia keturis adresus dviem mazgams sujungti, todėl plane yra trisdešimt du adresai šešiolikai naudingų galinių taškų, ir tai yra skaičius, kurį biudžetas turi atlaikyti. Platforma, palaikanti /31 sąsajas, išleidžia pusę, bet tik kai abu galai ir paslauga sutinka su tuo modeliu. Apvalinkite biudžetą aukštyn, o ne žemyn, nes sumažinti bloką vėliau reiškia pernumeruoti veikiančias sąsajas.

Tiekėjo apribojimai nugali bendrą praktiką. Dokumentuotas vidinis tunelio diapazonas gali reikalauti /30 net ten, kur /31 veikia jūsų maršrutizatoriuose, o valdomas šliuzas gali reikalauti konkrečios kaukės savo potinkliui. Perskaitykite paslaugos reikalavimą prieš taikydami taisyklę, pasiskolintą iš kitos platformos.

Daugiataškė perdanga vėl keičia aritmetiką: vienas adresas šliuzui, o perdanga rūpinasi pasiekiamumu tarp jų. Nuspręskite, kokią topologiją įgyvendinimas iš tikrųjų naudoja, prieš daugindami svetaines iš bloko dydžio.

Augimas nusipelno savo eilutės plane. Nuoseklaus infrastruktūros diapazono rezervavimas yra pagrįstas, ir taip pat užrašymas, kokie mažesni paskyrimai yra jo viduje, kad kitas inžinierius neskaito rezervacijos kaip vieno transliavimo domeno.

Laikykite šliuzo potinklį už LAN telkinio ribų

Valdomo šliuzo infrastruktūra nėra klientų telkinys. Rezervuoto šliuzo potinklio adresuose veikia pačios paslaugos komponentai, o nuotoliniai darbuotojai iš jų niekada neima. Matuoti tą potinklį pagal naudotojų skaičių yra kategorijos klaida, kuri arba eikvoja didelį diapazoną, arba nualina šliuzą.

Tas pats galioja tunelio diapazonams debesų VPN jungtyse, kur tiekėjas skiria mažą vidinį diapazoną kiekvienam tuneliui savo reikmėms. Tas diapazonas nėra vieta, kur gyvena jūsų filialo serveriai, ir jis ne jūsų, kad jį dalintumėte.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Išorinių adresų sąrašas patvirtina, ką tiekėjas skyrė ir kuris atsarginis tunelis šiuo metu veikia. Tai greičiau nei skaityti projektavimo dokumentą, parašytą prieš atsirandant jungčiai.

Užrašykite vaidmenį, savininką ir augimą kiekvienam prefiksui

Planas, kuris atlaiko kontaktą su eksploatacija, kiekvienam prefiksui nurodo, kokį vaidmenį jis atlieka, kas skiria tolimąjį galą ir kiek atsargos jis turi. Be savininko lauko dvi komandos tą patį /24 skiria tą patį ketvirtį, o susidūrimas paaiškėja tik pakėlus tunelį.

Laikykite šiuos diapazonus atokiau nuo namų ir filialo prefiksų, ateinančių kitais tuneliais, nes persidengianti adresų erdvė yra įprasta priežastis, dėl kurios jungtis tarp svetainių sėkmingai susiderina ir tada nepraleidžia jokio srauto.

Vidinių sąsajos adresų skyrimas neskelbia už jų esančių LAN tinklų. Maršrutai ar srauto selektoriai, grįžimo keliai ir prieigos taisyklės yra atskiri darbo elementai, ir planas turėtų tai pasakyti, o ne užsiminti, kad numeruota sąsaja atlieka maršrutizavimą už jus.