Сайт хоорондын VPN-ийн хаягийн орон зайг хэрхэн хэмжих вэ

VPN-ийн дэд сүлжээ хэр том байх ёстойг асуувал шударга хариулт нь асуултын дотор дөрвөн өөр дэд сүлжээ байж болно гэдэг. Сайтын VPN нь тээврийн төгсгөлийн цэг, дугаарласан туннелийн холболт, хамгаалагдсан LAN-ийн угтвар болон удирдлагатай гарцад нийлүүлэгчийн нөөцөлсөн дэд бүтцийн дэд сүлжээг багтааж болно. Тодорхой загварт тэдгээрийн нэг эсвэл хоёр нь л байдаг. Тэдгээрийг оффисын төхөөрөмжийн тоогоор хэмжих нь төлөвлөгөө хэнийг ч хангахгүй /24-ээр төгсөх зам юм.

Ямар нэг зүйл хуваарилахаас өмнө дөрвөн үүргийг нэрлэнэ үү

Тээврийн төгсгөлийн цэг гэдэг нь хоёр гарц интернэт эсвэл хувийн шугамаар бие биедээ хүрэхэд ашигладаг хаяг бөгөөд тэдгээрийн тоо нь LAN-аас бус, гарц болон нөөцийн загвараас гардаг. Дотоод туннелийн холболт нь загвар цэгээс-цэг рүү интерфейсийг дугаарласан газарт л байдаг бөгөөд бодлогод суурилсан IPsec тохиргоо үүнийг ихэвчлэн хийдэггүй. Хамгаалагдсан угтвар нь чиглүүлэгдэх ёстой бодит оффис эсвэл VPC сүлжээ, нийлүүлэгчийн нөөцөлсөн дэд сүлжээ нь удирдлагатай үйлчилгээнд хамаарна.

Ямар нэг зүйл нэмэхээс өмнө байгаа зүйлээ бүртгэнэ үү, учир нь энд үнэтэй алдаа нь өөр газар чиглүүлэгдэж буй угтварыг дахин ашиглах явдал юм. Туршилтын төслөөс үлдсэн хуучин туннель төлөвлөгөөг хордуулахад хангалттай. Бүртгэлээ огноотой бичиж үлдээнэ үү, учир нь хаагдсан холболтын дурсамж холболтоос илүү удаан амьдардаг.

ip -br addr show
ip route show | head -40

Тэр хоёр команд нь холбогдсон сүлжээ болон тэдгээрийн цаанаах бүх зүйлд хүрэх замын орон нутгийн дүр зургийг өгдөг. Бүртгэлийг сайт бүр дээр давтана уу, учир нь нэг сайтын гаралтаар баригдсан төлөвлөгөө дараагийнхтай мөргөлдөнө. Нэг ч блок хуваарилахаас өмнө гаралтуудыг цуглуулна уу.

Төхөөрөмжийг бус, холболт ба топологийг тоол

Найман цэгээс-цэг рүү хөршийн холбоотой загвар найман блок зарцуулдаг, нэг биш. /30 үед блок бүр хоёр хост холбоход дөрвөн хаяг зарцуулдаг тул төлөвлөгөө арван зургаан ашиглах боломжтой төгсгөлийн цэгт гучин хоёр хаяг авч явдаг бөгөөд төсөв даах ёстой тоо нь энэ. /31 холболтыг дэмждэг платформ хагасыг зарцуулдаг, гэхдээ хоёр тал болон үйлчилгээ энэ загварт санал нийлсэн үед л. Төсвийг доош бус дээш дугуйруулна уу, учир нь блокыг дараа багасгах нь ажиллаж буй холболтыг дахин дугаарлах гэсэн үг.

Нийлүүлэгчийн хязгаарлалт ерөнхий практикаас илүү. Баримтжуулсан дотоод туннелийн хүрээ таны чиглүүлэгч дээр /31 ажиллаж байгаа газарт ч /30 шаардаж болно, удирдлагатай гарц өөрийн дэд сүлжээнд тодорхой маск шаардаж болно. Өөр платформаас зээлсэн дүрмийг хэрэглэхээс өмнө үйлчилгээний шаардлагыг уншина уу.

Олон цэгийн бүрхүүл арифметикийг дахин өөрчилнө: гарц бүрт нэг хаяг, тэдгээрийн хоорондын хүртээмжийг бүрхүүл хариуцна. Сайтуудыг блокийн хэмжээгээр үржүүлэхээс өмнө хэрэгжүүлэлт яг аль топологийг ашигладагыг шийднэ үү.

Өсөлт төлөвлөгөөнд өөрийн мөртэй байх ёстой. Тогтвортой дэд бүтцийн хүрээг нөөцлөх нь үндэслэлтэй, мөн дотор нь ямар жижиг хуваарилалт байгааг тэмдэглэх нь зүйтэй, ингэснээр дараагийн инженер нөөцийг нэг нэвтрүүлэх домэйн гэж уншигүй.

Гарцын дэд сүлжээг LAN-ийн савнаас гадуур байлга

Удирдлагатай гарцын дэд бүтэц нь үйлчлүүлэгчийн сав биш. Нөөцөлсөн гарцын дэд сүлжээний хаягууд нь үйлчилгээний өөрийн бүрэлдэхүүн хэсгүүдийг байрлуулдаг бөгөөд алсын ажилчид тэдгээрээс хэзээ ч авдаггүй. Тэр дэд сүлжээг хэрэглэгчийн тоогоор хэмжих нь том хүрээг үрэх эсвэл гарцыг өлсгөх ангиллын алдаа юм.

Мөн адил үүлэн VPN холболтын туннелийн хүрээнд хамаарна, нийлүүлэгч туннель бүрт өөрийн хэрэглээнд жижиг дотоод хүрээ хуваарилдаг. Тэр хүрээ нь таны салбарын серверүүд байрладаг газар биш бөгөөд түүнийг хуваарилах нь таных биш.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Гадаад хаягуудыг жагсаах нь нийлүүлэгч юу хуваарилсан, аль нөөц туннель одоо идэвхтэй байгааг батална. Энэ нь холболт үүсэхээс өмнө бичигдсэн загварын баримт бичгийг уншихаас хурдан.

Угтвар бүрт үүрэг, эзэмшигч, өсөлтийг бүртгэ

Ашиглалттай харьцахад тэсвэртэй төлөвлөгөө нь угтвар бүрийн хувьд ямар үүрэг гүйцэтгэдэг, алслагдсан төгсгөлийг хэн хуваарилдаг, хэр их нөөц байгааг заана. Эзэмшигчийн талбаргүй бол хоёр баг нэг улиралд ижил /24 хуваарилж, мөргөлдөөн туннель босох үед л илэрдэг.

Эдгээр хүрээг бусад туннелээр ирж буй гэр, салбарын угтвараас хол байлга, учир нь давхцсан хаягийн орон зай нь сайт хоорондын холболт амжилттай тохиролцож, дараа нь ямар ч урсгал дамжуулахгүй байх ердийн шалтгаан.

Дотоод холболтын хаяг хуваарилах нь тэдгээрийн ард байгаа LAN-уудыг зарладаггүй. Маршрут эсвэл урсгалын сонгогч, буцах зам, нэвтрэх дүрэм нь тусдаа ажлын зүйл бөгөөд төлөвлөгөө нь дугаарласан интерфейс чиглүүлэлтийг таны оронд хийнэ гэж сэжүүлэхийн оронд үүнийг хэлэх ёстой.