Kā noteikt adrešu telpas lielumu VPN starp vietnēm

Pajautājiet, cik lielam jābūt VPN apakštīklam, un godīgā atbilde ir tāda, ka jautājumā var būt četri dažādi apakštīkli. Vietnes VPN var ietvert transporta galapunktus, numurētus tuneļa savienojumus, aizsargātā LAN tīkla prefiksus un pārvaldītās vārtejās pakalpojumu sniedzēja rezervētu infrastruktūras apakštīklu. Konkrētā projektā no tiem ir tikai viens vai divi. To mērīšana pēc biroja ierīču skaita ir veids, kā plāns beidzas ar /24, kas nevienu neapmierina.

Pirms kaut ko piešķirat, nosauciet četras lomas

Transporta galapunkti ir adreses, ko divas vārtejas izmanto, lai sasniegtu viena otru pāri internetam vai privātai līnijai, un to skaits izriet no vārtejas un dublēšanas modeļa, nevis no LAN tīkla. Iekšējie tuneļa savienojumi pastāv tikai tur, kur projekts numurē punktu-punktu saskarni, ko uz politiku balstīta IPsec konfigurācija parasti nedara. Aizsargātie prefiksi ir īstie biroja vai VPC tīkli, kuriem jābūt maršrutējamiem, un pakalpojumu sniedzēja rezervētais apakštīkls pieder pārvaldītajam pakalpojumam.

Uzskaitiet esošo pirms kaut ko pievienojat, jo dārgā kļūda šeit ir prefiksa atkārtota izmantošana, kas jau tiek maršrutēts citur. Vecs tunelis no izmēģinājuma projekta ir pietiekams, lai saindētu plānu. Pierakstiet uzskaitījumu ar datumiem, jo atmiņa par demontētu savienojumu dzīvo ilgāk par pašu savienojumu.

ip -br addr show
ip route show | head -40

Šīs divas komandas sniedz lokālu skatu uz pievienotajiem tīkliem un maršrutiem, kas sasniedz visu aiz tiem. Atkārtojiet uzskaitījumu katrā vietnē, jo plāns, kas veidots no vienas vietnes izvades, sadursies ar nākamās. Savāciet izvades pirms viena bloka piešķiršanas.

Skaitiet savienojumus un topoloģiju, nevis ierīces

Projekts ar astoņām punkts-punktam kaimiņattiecībām patērē astoņus blokus, nevis vienu. Pie /30 katrs bloks iztērē četras adreses, lai savienotu divus resursdatorus, tāpēc plānā ir trīsdesmit divas adreses sešpadsmit izmantojamiem galapunktiem, un tas ir skaitlis, kas budžetam jāiztur. Platforma, kas atbalsta /31 savienojumus, iztērē pusi, bet tikai tad, ja abi gali un pakalpojums vienojas par šo modeli. Noapaļojiet budžetu uz augšu, nevis uz leju, jo bloka samazināšana vēlāk nozīmē dzīvu savienojumu pārnumurēšanu.

Pakalpojumu sniedzēja ierobežojumi pārspēj vispārējo praksi. Dokumentēts iekšējais tuneļa diapazons var prasīt /30 pat tur, kur /31 darbojas jūsu maršrutētājos, un pārvaldīta vārteja var prasīt konkrētu masku savam apakštīklam. Izlasiet pakalpojuma prasību pirms no citas platformas aizgūta īkšķa noteikuma piemērošanas.

Daudzpunktu pārklājums atkal maina aritmētiku: viena adrese katrai vārtejai, un pārklājums nodrošina sasniedzamību starp tām. Izlemiet, kuru topoloģiju ieviešana faktiski izmanto, pirms reizināt vietnes ar bloka lielumu.

Izaugsme ir pelnījusi savu rindu plānā. Rezervēt saskaņotu infrastruktūras diapazonu ir saprātīgi, un arī pierakstīt, kuri mazāki piešķīrumi tajā atrodas, lai nākamais inženieris nelasītu rezervāciju kā vienu apraides domēnu.

Turiet vārtejas apakštīklu ārpus LAN pūla

Pārvaldītas vārtejas infrastruktūra nav klientu pūls. Rezervētā vārtejas apakštīkla adreses mitina paša pakalpojuma komponentus, un attālinātie darbinieki no tām nekad neņem. Šī apakštīkla mērīšana pēc lietotāju skaita ir kategorijas kļūda, kas vai nu izšķiež lielu diapazonu, vai badina vārteju.

Tas pats attiecas uz tuneļa diapazoniem mākoņa VPN savienojumos, kur pakalpojumu sniedzējs piešķir nelielu iekšējo diapazonu katram tunelim savām vajadzībām. Tas diapazons nav vieta, kur dzīvo jūsu filiāles serveri, un tas nav jūsu, lai to dalītu.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Ārējo adrešu uzskaitīšana apstiprina, ko pakalpojumu sniedzējs piešķīra un kurš rezerves tunelis pašlaik ir aktīvs. Tas ir ātrāk nekā lasīt projektēšanas dokumentu, kas rakstīts pirms savienojuma pastāvēšanas.

Pierakstiet lomu, īpašnieku un izaugsmi katram prefiksam

Plāns, kas iztur saskari ar ekspluatāciju, katram prefiksam norāda, kādu lomu tas spēlē, kas piešķir tālo galu un cik daudz rezerves tam ir. Bez īpašnieka lauka divas komandas piešķir vienu un to pašu /24 vienā ceturksnī, un sadursme atklājas tikai tad, kad tunelis paceļas.

Turiet šos diapazonus tālu no mājas un filiāles prefiksiem, kas ierodas pa citiem tuneļiem, jo pārklājošā adrešu telpa ir parastais iemesls, kāpēc savienojums starp vietnēm veiksmīgi vienojas un pēc tam nelaida cauri nekādu trafiku.

Iekšējo savienojuma adrešu piešķiršana neizsludina aiz tām esošos LAN tīklus. Maršruti vai trafika selektori, atgriešanās ceļi un piekļuves noteikumi ir atsevišķi darba posteņi, un plānam tas jāsaka, nevis jāliek saprast, ka numurēta saskarne veic maršrutēšanu jūsu vietā.