Rancang subnet sebelum VPN tapak: nombor semula atau terjemah

Dua pejabat kedua-duanya menggunakan 192.168.1.0/24 kerana tiada siapa merancang sebaliknya, dan terowong dijangka menyelesaikannya. Ia tidak boleh: penghala tidak boleh menjadikan alamat peribadi yang sama bermaksud dua tempat berbeza. Kerja yang menghalangnya berlaku sebelum parameter terowong pertama ditaip.

Inventori setiap julat, termasuk yang anda terlupa

Kumpulkan LAN, segmen pelayan, kolam klien akses jauh, julat VPC awan dan mana-mana rangkaian kontena atau tindanan yang perlu dicapai oleh hos. Kolam klien ialah yang orang lupa, dan ia bertindih dengan julat pejabat dengan kekerapan yang mengejutkan kerana kedua-duanya dipilih daripada lalai yang sama. Sertakan rangkaian pengurusan dan mana-mana segmen luar jalur.

Rekod pemilik, gerbang, tujuan dan sama ada awalan mesti boleh dicapai dari tapak lain. Awalan yang tidak pernah perlu melintasi terowong tidak perlu unik, dan mengetahui perkara itu mengurangkan kerja penomboran semula.

Lakukan IPv6 secara berasingan, kerana rancangan dan pertindihannya adalah bebas.

Bandingkan awalan, bukan alamat biasa

Dua rangkaian dengan alamat hos berbeza masih boleh bertindih, kerana pertindihan ialah sifat topeng dan bukan sifat nombor yang orang ingat. 10.20.0.0/16 mengandungi 10.20.30.0/24 sama ada seseorang menyebutnya kuat atau tidak. Bandingkan pasangan awalan penuh, dan semak agregat terhadap rangkaian yang lebih kecil di dalamnya. Itulah sebabnya semakan ini tergolong dalam hamparan dan bukan dalam kepala seseorang.

Semakan yang sama terpakai pada kolam klien VPN itu sendiri dan pada mana-mana julat terjemahan yang anda ingin perkenalkan, kerana julat terjemahan yang berlanggar lebih buruk daripada pertindihan asal.

Jadual awalan dengan topeng sudah cukup; rajah tanpa topeng tidak.

Tentukan apa yang sebenarnya perlu melintas

Satu tapak boleh mengandungi tiga puluh subnet manakala satu rangkaian perkhidmatan memerlukan akses jauh. Mulakan daripada keperluan itu dan umumkan hanya apa yang diperlukannya, kerana pengumuman yang lebih kecil dan peraturan akses yang sepadan lebih mudah disemak dan lebih sukar dilebarkan secara tidak sengaja. Mengumumkan setiap julat peribadi yang digunakan ialah tabiat yang menukar terowong menjadi jambatan. Semakin sempit pengumuman, semakin kecil jejari kesan kesilapan masa depan.

DNS peribadi mesti mengembalikan alamat yang boleh dicapai oleh klien yang dimaksudkan, jadi nama yang menunjuk ke julat yang tidak diumumkan atau bertindih kekal rosak walaupun carian berjaya.

Tulis senarai akses sebelum konfigurasi terowong, bukan selepas ia gagal.

Nombor semula atau terjemah, dan ketahui kosnya

Penomboran semula satu rangkaian biasanya merupakan ubat jangka panjang yang paling jelas, dan ia menyentuh tempahan, peranti, DNS, peraturan tembok api dan apa-apa yang alamatnya tertanam dalam konfigurasi. Menterjemah julat akses ialah alternatif apabila penomboran semula tidak praktikal, dan kosnya ialah identiti sumber serta kelas protokol yang membenamkan alamat dalam muatan. Pilih satu dan selesaikannya, kerana rangkaian yang separuh dinomborkan semula lebih buruk daripada kedua-dua pilihan.

Apa pun yang anda pilih, dokumentasikan kedua-dua alamat asal dan alamat yang dibentangkan, kerana setiap perbualan penyelesaian masalah kemudian memerlukan kedua-duanya.

Penyelesaian tanpa laluan balik bukan penyelesaian.

Gunakan matriks laluan sebagai ujian penerimaan

Akhiri dengan matriks: awalan setempat, awalan jauh, perkhidmatan yang dibenarkan dan gerbang balik. Jadual itu ialah ujian penerimaan apabila terowong naik, dan ia juga dokumen yang akan dibaca oleh jurutera seterusnya. Uji dari hos sebenar pada subnet yang dipilih dan bukan dari gerbang.

Ping antara alamat terowong membuktikan terowong wujud dan tiada apa-apa tentang pelan alamat di belakangnya.

Simpan matriks bersama konfigurasi terowong, dan penambahan tapak seterusnya bermula daripada data dan bukan ingatan. panduan penghantaran strongSwan merangkumi bahagian gerbang sebaik sahaja pelan wujud.