Rancang julat alamat VPN peribadi sebelum tapak berlanggar

Dua tapak yang kedua-duanya menggunakan 192.168.1.0/24 boleh masing-masing mencapai internet dan masih gagal mencapai satu sama lain. Get laluan tidak menimbulkan ralat; ia memasang satu laluan untuk awalan itu dan menghantar setiap paket kepada rakan yang menuntutnya dahulu. Tiada apa-apa dalam jabat tangan, senarai sifer atau metrik antara muka yang menyatakan rakan mana yang salah. Perancangan alamat ialah bahagian reka bentuk yang menyelesaikannya sebelum sesiapa bersambung.

Inventori setiap ruang yang mesti boleh dicapai

Tuliskan julat yang perlu dihalakan, bukan hanya yang anda konfigurasikan. Itu bermaksud LAN tapak, kolam klien VPN, subrangkaian awan, rangkaian pengurusan dan di luar jalur, segmen makmal, dan rangkaian tempat pengguna biasa bersambung dari rumah. Penghala pengguna yang dihantar sebagai 192.168.1.0/24 bukan hipotesis, dan awalan yang sama muncul di hotel dan tempat persidangan. Inventori ialah jadual awalan, pemilik dan tujuan, dan ia satu-satunya artifak yang menghalang julat yang sama diberikan dua kali.

Tambah awalan yang anda jangkakan dalam tahun akan datang, kerana pelan yang hanya meliputi hari ini gagal di tapak baharu pertama. Tandakan setiap baris dengan siapa yang boleh mengubahnya, bukan hanya siapa yang memilikinya.

Penggunaan semula itulah yang menyukarkannya: ruang peribadi terhad dan setiap organisasi menganggap 10.0.0.0/8 sebagai miliknya. Pelan tidak boleh menjanjikan bahawa tiada LAN tetamu masa depan akan mendarat pada salah satu awalan anda, jadi reka bentuk mesti menyatakan apa yang berlaku apabila ia berlaku. Dua peraturan melakukan sebahagian besar kerja. Letakkan kolam klien dalam satu blok bersebelahan yang boleh anda ringkaskan, dan jangan sekali-kali memperuntukkan julat yang sudah dihalakan oleh pasukan lain. Segala-galanya ialah rekod yang seseorang pastikan terkini.

Mengapa pertindihan mengalahkan jadual penghalaan

Laluan ialah awalan tambah lompatan seterusnya, dan pemajuan memilih awalan padanan terpanjang. Apabila dua rakan kedua-duanya menuntut 192.168.1.0/24 yang sama, jadual menyimpan satu entri untuknya, jadi trafik kedua-dua tapak keluar melalui terowong yang sama. Tapak kedua tidak salah dikonfigurasikan; ia tidak dapat dicapai kerana yang pertama menjawab untuk alamat yang sama. Tiada metrik boleh memisahkan mereka, kerana padanan berlaku sebelum metrik dirujuk.

Kegagalan itu tidak simetri dan mudah salah baca. Hos di tapak A mencapai get laluan dan beberapa perkhidmatan, manakala hos tapak B tidak menjawab apa-apa, dan log menunjukkan terowong sihat dalam kedua-dua arah. Corak itu ialah perlanggaran alamat dan bukan kerosakan pengesahan atau tembok api, dan untuk mengesahkannya perlu satu dump jadual yang dibandingkan dengan inventori.

Ukur kolam klien dan julat tapak secara sengaja

Kolam klien VPN ialah julat yang get laluan berikan satu alamat pada satu masa, jadi saiznya mengehadkan keserentakan. /24 memuatkan 254 alamat boleh guna, yang murah hati untuk pasukan kecil dan ketat untuk cawangan yang menjalankan kontena; /22 tidak menelan kos tambahan dalam ruang peribadi dan menghapuskan perdebatan. Kekalkan kolam bersebelahan dan jauh daripada setiap LAN tapak, supaya laluan ringkasan ke arah klien tidak pernah menelan tapak. Rizab julat itu walaupun kolam kosong, kerana julat yang tidak ditulis ialah yang akan diperuntukkan oleh jurutera seterusnya.

Tapak mendapat julat yang diukur untuk hos dijangka serta pertumbuhan, dijajarkan pada sempadan yang diringkaskan dengan bersih. Jurang yang disengajakan antara peruntukan tidak menelan kos dan membeli ruang untuk pengagregatan kemudian.

Kemudian periksa arah yang orang lupakan: laluan balik. Setiap penghala tapak memerlukan laluan ke kolam klien, dan pemusat memerlukan laluan ke setiap awalan tapak yang dilayaninya. Jadual awalan yang kemas tanpa laluan balik ke kolam masih reka bentuk rosak, dan gejalanya ialah sambungan sehala yang tidak menjawab apa-apa. Kekalkan kedua-dua arah dalam jadual yang sama dan semak semula setiap kali tapak ditambah.

Terjemahan dan penomboran semula menyelesaikan masalah berbeza

Apabila pertindihan sudah wujud, ada dua pilihan jujur dan satu pilihan tidak jujur. Penomboran semula menghapuskan perlanggaran secara kekal dan menelan kos tetingkap penyelenggaraan serta setiap alamat berkod keras yang anda lupakan. Terjemahan alamat memetakan julat peribadi satu pihak ke julat lain di tepi terowong, yang membiarkan kedua-dua tapak tidak tersentuh tetapi menambah keadaan, memecahkan protokol yang membenamkan alamat dan menjadikan log lebih sukar dibaca. Pilihan tidak jujur ialah laluan hos ke satu pelayan, yang lulus satu ujian dan gagal dalam segala-galanya.

Pilih mengikut kawalan dan hayat. Tapak yang anda miliki dan boleh jadualkan tergolong dalam laluan penomboran semula; rangkaian rakan kongsi yang tidak boleh disentuh, digunakan untuk satu aplikasi, ialah calon terjemahan dengan pemetaan berdokumen. Tuliskan pemetaan itu, kerana terjemahan yang hanya wujud dalam fail konfigurasi hilang pada saat fail itu diganti.

Uji dari bahagian jauh sebelum melaksanakan

Uji dari rangkaian yang tidak mengehos get laluan, kerana LAN get laluan sendiri menyembunyikan kebanyakan kesilapan penghalaan. Sambungkan klien di belakang penghala rumah biasa, kemudian capai perkhidmatan di setiap tapak dan satu di dalam kolam klien. Uji juga arah bertentangan, dari hos tapak ke klien, kerana laluan balik gagal secara bebas. Ujian yang hanya mengeping get laluan membuktikan terowong hidup dan tidak lebih.

Kekalkan julat, pemilik dan pemetaan terjemahan dalam satu rekod dikongsi yang dibaca tapak seterusnya sebelum memperuntukkan apa-apa. Semak semula apabila tapak ditambah, dan anggap julat tidak berdokumen sebagai kecacatan dan bukan kejutan.

Rekod itulah hasilnya. Pelan yang hidup dalam ingatan tiga orang gagal pertama kali salah seorang daripada mereka bercuti, dan pertindihan yang ditemui dalam pengeluaran menelan kos lebih besar daripada jadual itu.