Планирајте ги приватните VPN адресни опсези пред локациите да се судрат

Две локации што и двете користат 192.168.1.0/24 можат секоја да стигне до интернет и сепак да не стигнат една до друга. Портот не враќа грешка; тој инсталира една рута за тој префикс и ја праќа секоја порака до партнерот што го побарал прв. Ништо во ракувањето, списокот шифри или метриката на интерфејсот не кажува кој партнер е во грешка. Планирањето адреси е делот од дизајнот што го решава тоа пред некој да се поврзе.

Направете попис на секој простор што мора да биде достапен

Запишете ги опсезите што треба да се рутираат, не само оние што ги конфигурирате. Тоа значи LAN на локациите, клиентски базени на VPN, облачни подмрежи, мрежи за управување и надвор од опсегот, лабораториски сегменти и мрежите од кои корисниците обично се поврзуваат од дома. Потрошувачки рутер што се испорачува како 192.168.1.0/24 не е хипотетички, и истиот префикс се појавува во хотели и конференциски сали. Пописот е табела од префикс, сопственик и намена, и тоа е единствениот артефакт што спречува истиот опсег да се додели двапати.

Додајте ги префиксите што ги очекувате во следната година, зашто план што покрива само денес паѓа на првата нова локација. Означете во секој ред кој може да го смени, не само кој го поседува.

Токму повторната употреба го прави ова тешко: приватниот простор е ограничен и секоја организација 10.0.0.0/8 го смета за свој. Планот не може да вети дека иден гостински LAN нема да слета на еден од вашите префикси, затоа дизајнот мора да каже што се случува кога тоа ќе се случи. Две правила ја вршат поголемиот дел од работата. Ставете ги клиентските базени во еден непрекинат блок што можете да го сумирате, и никогаш не доделувајте опсег што друг тим веќе го рутира. Сѐ друго е запис што некој го одржува ажурен.

Зошто преклопувањето ја победува табелата за рутирање

Рутата е префикс плус следен скок, а препраќањето го избира најдолгиот префикс што се совпаѓа. Кога два партнери и двата бараат исти 192.168.1.0/24, табелата држи еден запис за него, па сообраќајот на двете локации излегува низ истиот тунел. Втората локација не е погрешно конфигурирана; таа е недостапна зашто првата одговара за истите адреси. Ниту една метрика не може да ги раздели, бидејќи совпаѓањето се случува пред метриките да бидат консултирани.

Дефектот е асиметричен и лесно се чита погрешно. Домаќините на локацијата A стигнуваат до портата и некои услуги, додека домаќините на локацијата B не одговараат на ништо, а дневникот покажува здрав тунел во двете насоки. Тој образец е судир на адреси, а не дефект во автентикацијата или огнениот ѕид, и за да се потврди потребно е едно исфрлање на табелата споредено со пописот.

Свесно димензионирајте го клиентскиот базен и опсезите на локациите

Клиентскиот базен на VPN е опсег од кој портата дава по една адреса, па неговата големина го ограничува бројот на истовремени врски. /24 држи 254 употребливи адреси, што е дарежливо за мал тим и тесно за огранок што работи контејнери; /22 не чини ништо дополнително во приватниот простор и ја отстранува расправата. Држете го базенот непрекинат и подалеку од секој LAN на локација, за да не проголта сумарната рута кон клиентите локација. Резервирајте го опсегот дури и кога базенот е празен, зашто незапишан опсег е оној што ќе го додели следниот инженер.

Локациите добиваат опсези димензионирани за очекуваните домаќини плус раст, порамнети на граница што чисто се сумира. Свесните празнини меѓу доделувањата не чинат ништо и купуваат простор за подоцнежно агрегирање.

Потоа проверете ја насоката што луѓето ја забораваат: повратниот пат. Секој рутер на локација треба рута до клиентскиот базен, а концентраторот треба рута до секој префикс на локација што го опслужува. Уредна табела со префикси без пат назад кон базенот сѐ уште е скршен дизајн, а симптомот е еднонасочна врска што не одговара на ништо. Држете ги двете насоки во истата табела и прегледајте ја секогаш кога се додава локација.

Преводот и пренумерирањето решаваат различни проблеми

Кога преклопување веќе постои, има две чесни опции и една нечесна. Пренумерирањето трајно го отстранува судирот и чини прозорец за одржување плус секоја цврсто кодирана адреса што сте ја заборавиле. Преводот на адреси го мапира приватниот опсег на едната страна во друг опсег на работ од тунелот, што ги остава двете локации недопрени, но додава состојба, крши протоколи што вградуваат адреси и го отежнува читањето на дневниците. Нечесната опција е рута до домаќин кон еден сервер, која поминува еден тест и паѓа на сѐ друго.

Изберете според контролата и траењето. Локација што ја поседувате и можете да ја закажете припаѓа на патот на пренумерирањето; партнерска мрежа што не можете да ја допрете и се користи за една апликација е кандидат за превод со документирано мапирање. Запишете го тоа мапирање, зашто превод што постои само во конфигурациска датотека исчезнува во мигот кога датотеката е заменета.

Тестирајте од далечната страна пред да распоредите

Тестирајте од мрежа што не го води портот, зашто сопствениот LAN на портата ги крие повеќето грешки во рутирањето. Поврзете клиент позади обичен домашен рутер, потоа стигнете до услуга на секоја локација и до една внатре во клиентскиот базен. Тестирајте ја и спротивната насока, од домаќин на локација кон клиентот, зашто повратните патишта паѓаат независно. Тест што само пингува порта докажува дека тунелот е кренат и ништо повеќе.

Држете ги опсезите, сопствениците и мапирањата на превод во еден заеднички запис што следната локација го чита пред да додели нешто. Прегледајте го кога се додава локација и третирајте недокументиран опсег како дефект, а не како изненадување.

Записот е резултатот. План што живее во сеќавањето на тројца луѓе паѓа првпат кога еден од нив е на одмор, а преклопување најдено во продукција чини повеќе отколку што би чинела табелата.