Plānojiet apakštīklus pirms vietu VPN: pārnumurējiet vai tulkojiet

Divi biroji abi izmanto 192.168.1.0/24, jo neviens neplānoja citādi, un no tuneļa tiek gaidīts, ka tas to atrisinās. Tas nevar: maršrutētājs nevar panākt, lai viena un tā pati privātā adrese nozīmētu divas dažādas vietas. Darbs, kas to novērš, notiek pirms pirmā tuneļa parametra ievadīšanas.

Uzskaitiet katru diapazonu, arī aizmirstos

Savāciet LAN, serveru segmentus, attālās piekļuves klientu pūlus, mākoņa VPC diapazonus un jebkurus konteineru vai pārklājuma tīklus, kuriem jāsasniedz resursdatori. Klientu pūli ir tie, kurus cilvēki aizmirst, un tie pārsteidzoši bieži pārklājas ar biroja diapazonu, jo abi tika izvēlēti no vienas un tās pašas noklusējuma vērtības. Iekļaujiet pārvaldības tīklu un jebkuru ārpusjoslas segmentu.

Pierakstiet īpašnieku, vārteju, mērķi un to, vai prefiksam jābūt sasniedzamam no otras vietas. Prefiksam, kuram nekad nav jāšķērso tunelis, nav jābūt unikālam, un tas zinot pārnumurēšanas darbs samazinās.

IPv6 dariet atsevišķi, jo tā plāns un tā pārklāšanās ir neatkarīgi.

Salīdziniet prefiksus, nevis pazīstamas adreses

Divi tīkli ar dažādām resursdatoru adresēm joprojām var pārklāties, jo pārklāšanās ir masku īpašība, nevis skaitļu, kurus cilvēki atceras. 10.20.0.0/16 satur 10.20.30.0/24 neatkarīgi no tā, vai kāds to saka skaļi. Salīdziniet pilnus prefiksu pārus un pārbaudiet agregātus pret mazākajiem tīkliem tajos. Tāpēc šī pārbaude pieder izklājlapai, nevis kādam galvā.

Tā pati pārbaude attiecas uz paša VPN klientu pūlu un jebkuru tulkoto diapazonu, ko plānojat ieviest, jo sadurošs tulkotais diapazons ir sliktāks par sākotnējo pārklāšanos.

Pietiek ar prefiksu tabulu ar maskām; diagramma bez maskām neder.

Izlemiet, kam patiešām jāšķērso

Vietā var būt trīsdesmit apakštīklu, kamēr vienam pakalpojumu tīklam vajadzīga attālā piekļuve. Sāciet no šīs prasības un paziņojiet tikai to, kas tam vajadzīgs, jo mazāki paziņojumi un atbilstoši piekļuves noteikumi ir vieglāk pārskatāmi un grūtāk nejauši paplašināmi. Paziņot katru izmantoto privāto diapazonu ir ieradums, kas tuneli pārvērš tiltā. Jo šaurāks paziņojums, jo mazāks nākotnes kļūdas ietekmes rādiuss.

Privātajam DNS ir jāatgriež adreses, ko sasniedz paredzētie klienti, tāpēc vārds, kas norāda uz nepaziņotu vai pārklājošu diapazonu, paliek salauzts arī tad, kad meklēšana izdodas.

Uzrakstiet piekļuves sarakstu pirms tuneļa konfigurācijas, nevis pēc tam, kad tā neizdodas.

Pārnumurējiet vai tulkojiet, un ziniet izmaksas

Viena tīkla pārnumurēšana parasti ir visskaidrākais ilgtermiņa risinājums, un tas skar rezervācijas, ierīces, DNS, ugunsmūra noteikumus un visu, kam adrese ir iestrādāta konfigurācijā. Piekļuves diapazona tulkošana ir alternatīva, kad pārnumurēšana ir nepraktiska, un tā maksā avota identitāti plus protokolu klasi, kas iegulst adreses lietderīgajā slodzē. Izvēlieties vienu un pabeidziet to, jo pusēm pārnumurēts tīkls ir sliktāks par abiem variantiem.

Ko vien izvēlētos, dokumentējiet gan sākotnējo, gan uzrādīto adresi, jo katrai vēlākai problēmu novēršanas sarunai vajadzīgas abas.

Apvedceļš bez atgriešanās ceļa nav apvedceļš.

Izmantojiet maršrutu matricu kā pieņemšanas testu

Pabeidziet ar matricu: lokālais prefikss, attālais prefikss, atļautais pakalpojums un atgriešanās vārteja. Šī tabula ir pieņemšanas tests, kad tunelis paceļas, un tā ir arī dokuments, ko lasīs nākamais inženieris. Testējiet no reāliem resursdatoriem izvēlētajos apakštīklos, nevis no vārtejām.

Ping starp tuneļa adresēm pierāda, ka tunelis pastāv, un neko par adrešu plānu aiz tā.

Glabājiet matricu kopā ar tuneļa konfigurāciju, un nākamā vietas pievienošana sāksies no datiem, nevis no atmiņas. Kad plāns ir, strongSwan pārsūtīšanas rokasgrāmata aptver vārtejas pusi.