Сайт хоорондын VPN-ийн өмнө дэд сүлжээг төлөвлө: дахин дугаарла эсвэл орчуул

Хоёр оффис хоёулаа 192.168.1.0/24-ийг ашиглаж байгаа нь хэн ч өөрөөр төлөвлөөгүйгээс бөгөөд туннель үүнийг шийднэ гэж хүлээж байна. Тэр чадахгүй: чиглүүлэгч ижил хувийн хаягийг хоёр өөр газар гэсэн утгатай болгож чадахгүй. Үүнийг сэргийлэх ажил туннелийн эхний параметрийг бичихээс өмнө хийгддэг.

Мартсан ч бүх мужийг бүртгэ

LAN, серверийн сегментүүд, алсын хандалтын клиентүүдийн сан, үүлэн VPC-ийн мужууд болон хостнууд хүрэх ёстой аливаа контейнер эсвэл давхаргын сүлжээг цуглуул. Хүмүүсийн мартдаг нь клиентүүдийн сан бөгөөд хоёулаа ижил өгөгдмөл утгаас сонгогдсон тул оффисын мужид гайхмаар олон удаа давхцдаг. Удирдлагын сүлжээ болон зурвасаас гадуурх сегментийг оруул.

Эзэмшигч, гарц, зорилго, мөн префикс нөгөө сайтаас хүрэх боломжтой байх эсэхийг тэмдэглэ. Туннель хэзээ ч дамжих шаардлагагүй префикс өвөрмөц байх шаардлагагүй бөгөөд үүнийг мэдэх нь дахин дугаарлах ажлыг багасгана.

IPv6-г тусдаа хий, учир нь түүний төлөвлөгөө болон давхцал нь бие даасан.

Танил хаяг биш, префиксүүдийг харьцуул

Өөр хост хаягтай хоёр сүлжээ давхарсаар байж болно, учир нь давхцал нь маскын шинж чанар бөгөөд хүмүүсийн санаж байдаг тоонуудын шинж биш. 10.20.0.0/16 нь 10.20.30.0/24-ийг агуулна, хэн нэгэн чанга хэлсэн эсэхээс үл хамааран. Бүрэн префикс хосуудыг харьцуулж, агрегатуудыг тэдгээрийн доторх жижиг сүлжээтэй тулгаж шалга. Тиймээс энэ шалгалт хэн нэгний толгойд биш, хүснэгтэд байх ёстой.

Мөн шалгалт нь VPN-ийн өөрийн клиентүүдийн санд болон нэвтрүүлэхээр төлөвлөж буй аливаа орчуулсан мужид хамаарна, учир нь мөргөлдөж буй орчуулсан муж нь анхны давхцлаас дор.

Масктай префиксүүдийн хүснэгт хангалттай; маскгүй диаграм хангалтгүй.

Чын мэндээ юу дамжих ёстойг шийд

Нэг сайтад гуч дэд сүлжээ байж болох ч нэг үйлчилгээний сүлжээнд алсын хандалт хэрэгтэй. Тэр шаардлагаас эхэлж, түүнд хэрэгтэй зүйлийг л зарла, учир нь жижиг зарлал болон тохирох хандалтын дүрэм хянахад хялбар, санамсаргүй өргөжүүлэхэд хүнд. Ашиглагдаж буй бүх хувийн мужийг зарлах нь туннелийг гүүр болгох зуршил юм. Зарлал нарийн байх тусам ирээдүйн алдааны нөлөөллийн радиус бага байна.

Хувийн DNS нь зорилтот клиентүүд хүрч чадах хаягуудыг буцаах ёстой, тиймээс зарлаагүй эсвэл давхцсан муж руу заасан нэр хайлт амжилттай болсон ч эвдэрхий хэвээр байна.

Хандалтын жагсаалтыг туннелийн тохиргооны өмнө бич, бүтэлгүйтсэний дараа биш.

Дахин дугаарла эсвэл орчуул, зардлыг нь мэд

Нэг сүлжээг дахин дугаарлах нь ихэвчлэн хамгийн тодорхой урт хугацааны шийдэл бөгөөд резерв, төхөөрөмж, DNS, галт хананы дүрэм болон тохиргоонд хаяг нь шингэсэн бүх зүйлд хүрнэ. Хандалтын мужийг орчуулах нь дахин дугаарлах боломжгүй үеийн хувилбар бөгөөд эх сурвалжийн таних тэмдэг болон хаягийг ачаалалд шингээдэг протоколын ангид өртөгтэй. Нэгийг сонгоод дуусга, учир нь хагас дахин дугаарласан сүлжээ нь хоёр хувилбараас ч дор.

Аль нэгийг сонгосон ч анхны болон үзүүлсэн хаягийг хоёуланг нь баримтжуул, учир нь дараагийн аливаа алдаа засах ярианд хоёулаа хэрэгтэй.

Буцах замгүй шийдэл бол шийдэл биш.

Маршрутын матрицыг хүлээн авах шалгалт болгон ашигла

Матрицаар дуусга: локал префикс, алсын префикс, зөвшөөрөгдсөн үйлчилгээ, буцах гарц. Туннель босох үед тэр хүснэгт нь хүлээн авах шалгалт бөгөөд дараагийн инженер унших баримт бичиг ч мөн. Гарцуудаас биш, сонгосон дэд сүлжээний бодит хостнуудаас туршиж үз.

Туннелийн хаягуудын хоорондох ping нь туннель байгааг нотолж, түүний ард байгаа хаягийн төлөвлөгөөний талаар юу ч хэлэхгүй.

Матрицыг туннелийн тохиргоотой хамт хадгал, дараагийн сайт нэмэх нь санах ойноос биш өгөгдлөөр эхэлнэ. Төлөвлөгөө байгаа үед strongSwan-ы дамжуулах гарын авлага гарцын талыг хамарна.