Cara menentukan saiz ruang alamat untuk VPN antara lokasi

Tanya berapa besar subrangkaian VPN sepatutnya dan jawapan jujurnya ialah soalan itu mungkin mengandungi empat subrangkaian berbeza. VPN lokasi boleh melibatkan titik akhir pengangkutan, pautan terowong bernombor, awalan LAN yang dilindungi dan, pada geting terurus, subrangkaian infrastruktur yang ditempah oleh penyedia. Hanya satu atau dua daripadanya wujud dalam reka bentuk tertentu. Mengukurnya daripada bilangan peranti pejabat ialah cara sesuatu pelan berakhir dengan /24 yang tidak memuaskan sesiapa.

Namakan empat peranan sebelum anda memperuntukkan apa-apa

Titik akhir pengangkutan ialah alamat yang digunakan oleh dua geting untuk saling mencapai melalui internet atau litar persendirian, dan bilangannya datang daripada model geting dan lebihan, bukan daripada LAN. Pautan terowong dalaman wujud hanya di tempat reka bentuk menomborkan antara muka titik-ke-titik, yang biasanya tidak dilakukan oleh konfigurasi IPsec berasaskan dasar. Awalan terlindung ialah rangkaian pejabat atau VPC sebenar yang mesti boleh dilalukan, dan subrangkaian yang ditempah penyedia tergolong dalam perkhidmatan terurus.

Inventori apa yang sudah wujud sebelum menambah apa-apa, kerana kesilapan mahal di sini ialah menggunakan semula awalan yang sudah dilalukan di tempat lain. Terowong lama daripada projek perintis sudah cukup untuk meracuni sesuatu pelan. Catat inventori itu berserta tarikh, kerana ingatan tentang pautan yang dinyahaktifkan hidup lebih lama daripada pautan itu sendiri.

ip -br addr show
ip route show | head -40

Kedua-dua arahan itu memberi pandangan setempat tentang rangkaian yang bersambung dan laluan yang mencapai segala-galanya di luarnya. Ulang inventori di setiap lokasi, kerana pelan yang dibina daripada keluaran satu lokasi akan bertembung dengan keluaran lokasi seterusnya. Kumpulkan keluaran itu sebelum anda memperuntukkan satu blok pun.

Kira pautan dan topologi, bukan peranti

Reka bentuk dengan lapan kejiranan titik-ke-titik menghabiskan lapan blok, bukan satu. Pada /30 setiap blok membelanjakan empat alamat untuk menyambung dua hos, jadi pelan membawa tiga puluh dua alamat untuk enam belas titik akhir yang boleh digunakan, dan itulah angka yang mesti ditanggung oleh belanjawan. Platform yang menyokong pautan /31 membelanjakan separuh, tetapi hanya apabila kedua-dua hujung dan perkhidmatan bersetuju dengan model itu. Bundarkan belanjawan ke atas dan bukan ke bawah, kerana mengecilkan blok kemudian bermakna menomborkan semula pautan yang aktif.

Kekangan penyedia mengalahkan amalan umum. Julat terowong dalaman yang didokumenkan mungkin memerlukan /30 walaupun /31 berfungsi pada penghala anda, dan geting terurus mungkin menuntut topeng tertentu untuk subrangkaiannya sendiri. Baca keperluan perkhidmatan sebelum menggunakan peraturan praktikal yang dipinjam daripada platform lain.

Lapisan tindih berbilang titik mengubah aritmetik sekali lagi: satu alamat bagi setiap geting, dengan lapisan tindih mengendalikan kebolehcapaian antara mereka. Tentukan topologi mana yang benar-benar digunakan oleh pelaksanaan sebelum mendarab lokasi dengan saiz blok.

Pertumbuhan wajar mendapat barisnya sendiri dalam pelan. Menempah julat infrastruktur yang koheren adalah wajar, begitu juga mencatat peruntukan lebih kecil yang terletak di dalamnya, supaya jurutera seterusnya tidak membaca tempahan itu sebagai satu domain siaran.

Jauhkan subrangkaian geting daripada kumpulan LAN

Infrastruktur geting terurus bukan kumpulan klien. Alamat dalam subrangkaian geting yang ditempah menempatkan komponen perkhidmatan itu sendiri, dan pekerja jauh tidak pernah mengambil daripadanya. Mengukur subrangkaian itu daripada bilangan pengguna ialah kesilapan kategori yang sama ada membazirkan julat besar atau membuat geting kebuluran.

Perkara yang sama berlaku untuk julat terowong pada sambungan VPN awan, di mana penyedia memperuntukkan julat dalaman kecil bagi setiap terowong untuk kegunaannya sendiri. Julat itu bukan tempat pelayan cawangan anda berada, dan ia bukan milik anda untuk diagihkan.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Menyenaraikan alamat luar mengesahkan apa yang diperuntukkan oleh penyedia dan terowong berlebihan mana yang sedang aktif. Ia lebih pantas daripada membaca dokumen reka bentuk yang ditulis sebelum sambungan itu wujud.

Catat peranan, pemilik dan pertumbuhan bagi setiap awalan

Pelan yang bertahan apabila bersentuhan dengan operasi menyatakan, bagi setiap awalan, peranan yang dimainkannya, siapa yang memperuntukkan hujung jauh dan berapa banyak ruang lapang yang dimilikinya. Tanpa medan pemilik, dua pasukan memperuntukkan /24 yang sama pada suku yang sama, dan perlanggaran hanya muncul apabila terowong naik.

Jauhkan julat ini daripada awalan rumah dan cawangan yang tiba melalui terowong lain, kerana ruang bertindih ialah sebab biasa sesuatu sambungan antara lokasi berjaya berunding dan kemudian tidak melepaskan sebarang trafik.

Memperuntukkan alamat pautan dalaman tidak mengumumkan LAN di belakangnya. Laluan atau pemilih trafik, laluan balik dan peraturan akses ialah item kerja berasingan, dan pelan itu patut menyatakannya dan bukannya membayangkan bahawa antara muka bernombor melakukan penghalaan untuk anda.