Како да се димензионира адресниот простор за VPN меѓу локации

Прашајте колку голема треба да биде подмрежата на VPN и искрениот одговор е дека во прашањето може да се кријат четири различни подмрежи. VPN на локација може да вклучува транспортни крајни точки, нумерирани тунелски врски, префиксите на заштитената локална мрежа и, на управувани порти, инфраструктурна подмрежа што ја резервира давателот. Во конкретен проект постојат само една или две од нив. Димензионирањето по бројот на канцелариски уреди е начинот на кој планот завршува со /24 што никого не задоволува.

Именувајте ги четирите улоги пред да доделите нешто

Транспортните крајни точки се адресите што две порти ги користат за да се стигнат преку интернет или приватна линија, а нивниот број произлегува од моделот на портата и резервирањето, не од локалната мрежа. Внатрешните тунелски врски постојат само таму каде проектот нумерира интерфејс точка-до-точка, што конфигурација на IPsec заснована на правила обично не го прави. Заштитените префикси се вистинските канцелариски мрежи или мрежи на VPC што мора да бидат рутирани, а подмрежата резервирана од давателот и припаѓа на управуваната услуга.

Направете попис на она што веќе постои пред да додадете нешто, бидејќи скапата грешка овде е повторна употреба на префикс што веќе се рутира на друго место. Стар тунел од пилот проект е доволен за да го расипе планот. Запишете го пописот со датуми, бидејќи сеќавањето на укината врска живее подолго од самата врска.

ip -br addr show
ip route show | head -40

Тие две наредби даваат локален поглед на поврзаните мрежи и на рутите што стигнуваат до сето она што е надвор од нив. Повторете го пописот на секоја локација, бидејќи план изграден од излезот на една локација ќе се судри со излезот на следната. Соберете ги излезите пред да доделите еден блок.

Бројте врски и топологија, не уреди

Проект со осум соседства точка-до-точка троши осум блокови, не еден. На /30 секој блок троши четири адреси за да поврзе два домаќини, па планот носи триесет и две адреси за шеснаесет употребливи крајни точки, и тоа е бројката што буџетот мора да ја издржи. Платформа што поддржува врски /31 троши половина, но само кога двата краја и услугата се согласуваат со тој модел. Заокружете го буџетот нагоре, а не надолу, бидејќи намалувањето на блок подоцна значи пренумерирање на живи врски.

Ограничувањата на давателот победуваат над општата практика. Документиран внатрешен опсег на тунел може да бара /30 дури и таму каде /31 работи на вашите рутери, а управувана порта може да бара одредена маска за сопствената подмрежа. Прочитајте го барањето на услугата пред да примените правило позајмено од друга платформа.

Повеќеточковното преклопување повторно ја менува аритметиката: една адреса по порта, при што преклопувањето ја презема достапноста меѓу нив. Одлучете која топологија имплементацијата навистина ја користи пред да ги помножите локациите со големина на блок.

Растот заслужува свој ред во планот. Резервирањето на поврзан инфраструктурен опсег е разумно, како и запишувањето кои помали доделувања лежат во него, за следниот инженер да не ја прочита резервацијата како еден домен за емитување.

Држете ја подмрежата на портата надвор од базенот на локалната мрежа

Инфраструктурата на управувана порта не е базен на клиенти. Адресите во резервирана подмрежа на портата ги сместуваат сопствените компоненти на услугата и далечинските работници никогаш не црпат од нив. Димензионирањето на таа подмрежа по бројот на корисници е категорична грешка што или расипува голем опсег или ја изгладнува портата.

Истото важи за тунелските опсези на облачните VPN врски, каде давателот доделува мал внатрешен опсег по тунел за сопствена употреба. Тој опсег не е местото каде живеат вашите сервери на филијалата и не е ваш за да го делите.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Наведувањето на надворешните адреси потврдува што доделил давателот и кој резервен тунел е моментално активен. Тоа е побрзо од читање проектен документ напишан пред врската да постои.

Запишете улога, сопственик и раст за секој префикс

План што преживува допир со работата наведува за секој префикс каква улога игра, кој го доделува далечниот крај и колку резерва има. Без полето за сопственик два тима доделуваат иста /24 во исто тримесечје, а судирот се покажува дури кога тунелот ќе се подигне.

Држете ги овие опсези подалеку од домашните и филијалните префикси што пристигнуваат преку други тунели, бидејќи преклопениот простор е вообичаената причина врската меѓу локации успешно да преговара и потоа да не пропушта сообраќај.

Доделувањето внатрешни адреси на врската не ги објавува локалните мрежи зад нив. Рутите или селекторите на сообраќај, повратните патеки и правилата за пристап се одделни работни ставки и планот треба да го каже тоа наместо да имплицира дека нумериран интерфејс го врши рутирањето за вас.