Планирајте ги подмрежите пред VPN меѓу локациите: пренумерирајте или преведете

Две канцеларии и двете користат 192.168.1.0/24 зашто никој не планирал поинаку, а од тунелот се очекува да го реши тоа. Не може: рутерот не може да направи истата приватна адреса да значи две различни места. Работата што го спречува тоа се случува пред да се внесе првиот параметар на тунелот.

Направете инвентар на секој опсег, вклучително и заборавените

Соберете ги LAN мрежите, серверските сегменти, пуловите на клиенти за далечински пристап, опсезите на облачните VPC и сите контејнерски или overlay мрежи до кои домаќините мора да стигнат. Пуловите на клиенти се тие што луѓето ги забораваат, и тие изненадувачки често се преклопуваат со канцелариски опсег зашто и двете биле избрани од истото стандардно. Вклучете ја управувачката мрежа и секој сегмент вон опсегот.

Запишете сопственик, портал, цел и дали префиксот мора да биде достапен од другата локација. Префиксот што никогаш не треба да го премине тунелот не мора да биде единствен, и тоа знаење ја намалува работата за пренумерирање.

Направете IPv6 одделно, зашто неговиот план и неговите преклопувања се независни.

Споредете префикси, а не познати адреси

Две мрежи со различни адреси на домаќини сепак можат да се преклопуваат, зашто преклопувањето е својство на маските, а не на броевите што луѓето ги паметат. 10.20.0.0/16 содржи 10.20.30.0/24 без разлика дали некој тоа го вели гласно. Споредете цели парови префикси и проверете ги агрегатите наспроти помалите мрежи во нив. Затоа оваа проверка и припаѓа на табела, а не на нечија глава.

Истата проверка важи за самиот пул на клиенти на VPN и за секој преведен опсег што планирате да го воведете, зашто преведен опсег што се судира е полош од првобитното преклопување.

Табела на префикси со маски е доволна; дијаграм без маски не е.

Одлучете што навистина мора да помине

Локацијата може да содржи триесет подмрежи, додека на една услугна мрежа ѝ треба далечински пристап. Започнете од тоа барање и објавувајте само што ѝ треба, зашто помалите објави и соодветните правила за пристап полесно се прегледуваат и потешко се прошируваат по грешка. Објавувањето на секој приватен опсег во употреба е навика што тунелот го претвора во мост. Колку е потесна објавата, толку е помал радиусот на влијание на идната грешка.

Приватниот DNS мора да враќа адреси што предвидените клиенти можат да ги достигнат, па името што покажува на необјавен или преклопен опсег останува скршено дури и кога пребарувањето успева.

Напишете ја листата за пристап пред конфигурацијата на тунелот, не по нејзиното пропаѓање.

Пренумерирајте или преведете и знајте ја цената

Пренумерирањето на една мрежа обично е најјасното долгорочно решение, и допира резервации, уреди, DNS, правила на огнената корица и сето со адреса вградена во конфигурација. Преведувањето на пристапен опсег е алтернативата кога пренумерирањето е непрактично, и тоа чини идентитет на изворот плус класа протоколи што адресите ги вградуваат во носивост. Изберете едно и довршете го, зашто пола пренумерирана мрежа е полоша од двете опции.

Што и да изберете, документирајте ја и изворната и претставената адреса, зашто секој подоцнежен разговор за отстранување проблеми ги потребува двете.

Решение без повратен пат не е решение.

Користете матрица на маршрути како приемен тест

Завршете со матрица: локален префикс, далечински префикс, дозволена услуга и портал за враќање. Таа табела е приемниот тест кога тунелот ќе се подигне, и таа е и документот што ќе го чита следниот инженер. Тестирајте од вистински домаќини во избраните подмрежи, а не од порталите.

Ping меѓу тунелски адреси докажува дека тунелот постои и ништо за планот на адреси зад него.

Чувајте ја матрицата со конфигурацијата на тунелот, и следното додавање локација започнува од податоци, а не од меморија. Кога планот постои, водичот на strongSwan за препраќање ја покрива страната на порталот.