Plānojiet privātos VPN adrešu diapazonus pirms vietņu sadursmes

Divas vietnes, kas abas izmanto 192.168.1.0/24, var katra sasniegt internetu un tomēr nesasniegt viena otru. Vārteja neizmet kļūdu; tā instalē vienu maršrutu šim prefiksam un sūta katru paketi tam partnerim, kurš to pieprasīja pirmais. Nekas rokasspiedienā, šifru sarakstā vai saskarnes metrikā nepasaka, kurš partneris ir nepareizs. Adrešu plānošana ir tā dizaina daļa, kas to izšķir pirms kāds pieslēdzas.

Inventarizējiet katru telpu, kurai jābūt sasniedzamai

Pierakstiet diapazonus, kas jāmaršrutē, ne tikai tos, ko konfigurējat. Tas nozīmē vietņu LAN, VPN klientu pūlus, mākoņa apakštīklus, pārvaldības un ārpusjoslas tīklus, laboratorijas segmentus un tīklus, no kuriem lietotāji parasti pieslēdzas mājās. Patērētāju maršrutētājs, kas tiek piegādāts kā 192.168.1.0/24, nav hipotētisks, un tas pats prefikss parādās viesnīcās un konferenču centros. Inventārs ir tabula ar prefiksu, īpašnieku un mērķi, un tas ir vienīgais artefakts, kas neļauj vienu un to pašu diapazonu izsniegt divreiz.

Pievienojiet prefiksus, kurus gaidāt nākamajā gadā, jo plāns, kas aptver tikai šodienu, izgāžas pirmajā jaunajā vietnē. Atzīmējiet katrā rindā, kas to var mainīt, ne tikai kas to pārvalda.

Tieši atkārtota izmantošana padara to grūtu: privātā telpa ir ierobežota un katra organizācija 10.0.0.0/8 uzskata par savu. Plāns nevar apsolīt, ka nākotnes viesu LAN neattopies uz vienu no jūsu prefiksiem, tāpēc dizainam jāsaka, kas notiek, kad tas notiek. Lielāko daļu darba paveic divi noteikumi. Ievietojiet klientu pūlus vienā nepārtrauktā blokā, ko varat apkopot, un nekad nepiešķiriet diapazonu, ko cita komanda jau maršrutē. Viss pārējais ir ieraksts, ko kāds uztur aktuālu.

Kāpēc pārklāšanās uzvar maršrutēšanas tabulu

Maršruts ir prefikss plus nākamais lēciens, un pārsūtīšana izvēlas garāko atbilstošo prefiksu. Kad divi partneri abi pieprasa to pašu 192.168.1.0/24, tabulā tam ir viens ieraksts, tāpēc abu vietņu trafiks iziet pa vienu un to pašu tuneli. Otrā vietne nav nepareizi konfigurēta; tā nav sasniedzama tāpēc, ka pirmā atbild uz tiem pašiem adresēm. Neviena metrika nevar tās atdalīt, jo atbilstība notiek pirms metriku izmantošanas.

Kļūme ir asimetriska un to viegli nolasīt nepareizi. Vietnes A saimnieki sasniedz vārteju un dažus pakalpojumus, bet vietnes B saimnieki neatbild ne uz ko, un žurnāls rāda veselu tuneli abos virzienos. Šis modelis ir adrešu sadursme, nevis autentifikācijas vai ugunsmūra kļūme, un tā apstiprināšanai vajag vienu tabulas izdruku, kas salīdzināta ar inventāru.

Apzināti izmēriet klientu pūlu un vietņu diapazonus

VPN klientu pūls ir diapazons, no kura vārteja izsniedz vienu adresi reizē, tāpēc tā lielums ierobežo vienlaicību. /24 satur 254 izmantojamas adreses, kas ir dāsni mazai komandai un šauri filiālei, kas darbina konteinerus; /22 privātajā telpā neizmaksā neko papildu un novērš strīdu. Turiet pūlu nepārtrauktu un tālu no katras vietnes LAN, lai kopsavilkuma maršruts uz klientiem nekad neaprij vietni. Rezervējiet diapazonu arī tad, kad pūls ir tukšs, jo neuzrakstīts diapazons ir tas, ko piešķirs nākamais inženieris.

Vietnes saņem diapazonus, kas izmērīti gaidāmajiem saimniekiem plus izaugsmei, izlīdzinātus uz robežas, kas tīri apkopojas. Apzinātas nepilnības starp piešķīrumiem neko neizmaksā un nopērk vietu vēlākai apkopošanai.

Pēc tam pārbaudiet virzienu, ko cilvēki aizmirst: atgriešanās ceļu. Katram vietnes maršrutētājam vajag maršrutu uz klientu pūlu, un koncentratoram vajag maršrutu uz katru tā apkalpoto vietnes prefiksu. Kārtīga prefiksu tabula bez ceļa atpakaļ uz pūlu joprojām ir salauzts dizains, un simptoms ir vienvirziena savienojums, kas ne uz ko neatbild. Turiet abus virzienus vienā tabulā un pārskatiet to ikreiz, kad tiek pievienota vietne.

Tulkošana un pārnumurēšana risina dažādas problēmas

Kad pārklāšanās jau pastāv, ir divi godīgi varianti un viens negodīgs. Pārnumurēšana pilnībā novērš sadursmi un izmaksā apkopes logu plus katru aizmirsto cieti kodēto adresi. Adrešu tulkošana vienas puses privāto diapazonu attēlo citā diapazonā tuneļa malā, kas atstāj abas vietnes neskartas, bet pievieno stāvokli, salauž protokolus, kas iekļauj adreses, un padara žurnālus grūtāk lasāmus. Negodīgais variants ir saimnieka maršruts uz vienu serveri, kas iztur vienu testu un izgāžas visā pārējā.

Izvēlieties pēc kontroles un dzīves ilguma. Vietne, kas jums pieder un ko varat ieplānot, pieder pārnumurēšanas ceļam; partnera tīkls, kam nevarat pieskarties un kas tiek izmantots vienai lietotnei, ir tulkošanas kandidāts ar dokumentētu kartējumu. Pierakstiet šo kartējumu, jo tulkojums, kas pastāv tikai konfigurācijas failā, pazūd tajā mirklī, kad fails tiek aizstāts.

Pārbaudiet no tālākās puses pirms ieviešanas

Pārbaudiet no tīkla, kas nav vārtejas mitinātājs, jo pašas vārtejas LAN slēpj lielāko daļu maršrutēšanas kļūdu. Pievienojiet klientu aiz parasta mājas maršrutētāja, tad sasniedziet pakalpojumu katrā vietnē un vienu klientu pūla iekšienē. Pārbaudiet arī pretējo virzienu, no vietnes saimnieka uz klientu, jo atgriešanās ceļi izgāžas neatkarīgi. Tests, kas tikai ping vārteju, pierāda, ka tunelis darbojas, un neko vairāk.

Turiet diapazonus, īpašniekus un tulkošanas kartējumus vienā kopīgā ierakstā, ko nākamā vietne izlasa pirms kaut kā piešķiršanas. Pārskatiet to, kad tiek pievienota vietne, un neaprakstītu diapazonu uzskatiet par defektu, nevis pārsteigumu.

Ieraksts ir rezultāts. Plāns, kas dzīvo trīs cilvēku atmiņā, izgāžas pirmajā reizē, kad kāds no viņiem ir atvaļinājumā, un ražošanā atrasta pārklāšanās izmaksā vairāk, nekā būtu izmaksājusi tabula.