Ippjana firxiet privati ta’ indirizzi VPN qabel ma jiġġieldu s-siti

Żewġ siti li t-tnejn jużaw 192.168.1.0/24 jistgħu kull wieħed jilħaq l-internet u xorta jfallu jilħqu lil xulxin. Il-gateway ma jerfax ebda żball; jinstalla rotta waħda għal dak il-prefiss u jibgħat kull pakkett lill-peer li talabha l-ewwel. Xejn fil-handshake, fil-lista taċ-ċifraturi jew fil-metrika tal-interface ma jgħid liema peer huwa żbaljat. L-ippjanar tal-indirizzi huwa dik il-parti tad-disinn li ssolviha qabel ma jikkonnettja xi ħadd.

Inventarja kull spazju li jrid ikun aċċessibbli

Ikteb il-firxiet li jridu jiġu rrotati, mhux biss dawk li qed tikkonfigura. Jiġifieri LANs tas-siti, pools tal-klijenti VPN, subnetworks tal-cloud, netwerks tal-ġestjoni u barra mill-banda, segmenti tal-laboratorju, u n-netwerks li minnhom l-utenti normalment jikkonnettjaw mid-dar. Router tal-konsumatur li jinbiegħ bħala 192.168.1.0/24 mhuwiex ipotetiku, u l-istess prefiss jidher f’lukandi u f’postijiet tal-konferenzi. L-inventarju huwa tabella ta’ prefiss, sid u għan, u huwa l-unika artefatt li jwaqqaf l-istess firxa milli tingħata darbtejn.

Żid il-prefissi li tistenna fis-sena li ġejja, għax pjan li jkopri biss illum ifalli fl-ewwel sit ġdid. Immarka kull ringiela b’min jista’ jbiddilha, mhux biss min jippossjediha.

Huwa l-użu mill-ġdid li jagħmel dan diffiċli: l-ispazju privat huwa limitat u kull organizzazzjoni tqis 10.0.0.0/8 bħala tagħha. Pjan ma jistax iwiegħed li ebda LAN tal-mistednin fil-futur mhix se tinżel fuq wieħed mill-prefissi tiegħek, għalhekk id-disinn irid jgħid x’jiġri meta jiġri. Żewġ regoli jagħmlu l-biċċa l-kbira tax-xogħol. Poġġi l-pools tal-klijenti f’blokk kontigwu wieħed li tista’ tiġbor fil-qosor, u qatt ma talloka firxa li tim ieħor diġà jrotta. Kull ħaġa oħra hija rekord li xi ħadd iżomm aġġornat.

Għaliex sovrappożizzjoni tegħleb it-tabella tar-rotot

Rotta hija prefiss flimkien ma’ qabża li jmiss, u l-indirizzar mill-ġdid jagħżel l-itwal prefiss li jaqbel. Meta żewġ peers it-tnejn jitolbu l-istess 192.168.1.0/24, it-tabella żżomm entrata waħda għalih, għalhekk it-traffiku taż-żewġ siti joħroġ mill-istess mina. It-tieni sit mhuwiex ikkonfigurat ħażin; mhuwiex aċċessibbli għax l-ewwel wieħed iwieġeb għall-istess indirizzi. L-ebda metrika ma tista’ tifridhom, għax it-tqabbil jiġri qabel ma jiġu kkonsultati l-metriki.

Il-falliment huwa asimmetriku u faċli biex tinqrah ħażin. L-hosts fis-sit A jilħqu l-gateway u xi servizzi, filwaqt li l-hosts tas-sit B ma jwieġbu xejn, u l-log juri mina sana fiż-żewġ direzzjonijiet. Dak il-mudell huwa kolliżjoni tal-indirizzi u mhux ħsara fl-awtentikazzjoni jew fil-firewall, u biex tikkonfermaha trid dump wieħed tat-tabella mqabbel mal-inventarju.

Iddimensjona l-pool tal-klijenti u l-firxiet tas-siti b’mod intenzjonat

Pool tal-klijenti VPN huwa firxa li l-gateway jaqsam indirizz wieħed kull darba, għalhekk id-daqs tiegħu jillimita l-konkorrenza. /24 iżomm 254 indirizz użabbli, li huwa ġeneruż għal tim żgħir u strett għal fergħa li tmexxi kontenituri; /22 ma jiswa xejn żejjed fl-ispazju privat u jneħħi l-argument. Żomm il-pool kontigwu u ’l bogħod minn kull LAN tas-sit, sabiex ir-rotta fil-qosor lejn il-klijenti qatt ma tibla’ sit. Irriżerva l-firxa anki meta l-pool ikun vojt, għax firxa mhux miktuba hija dik li se jalloka l-inġinier li jmiss.

Is-siti jieħdu firxiet iddimensjonati għall-hosts mistennija flimkien mat-tkabbir, allinjati fuq fruntiera li tiġbor fil-qosor b’mod nadif. Il-vojtiet intenzjonati bejn l-allokazzjonijiet ma jiswew xejn u jixtru spazju għall-aggregazzjoni aktar tard.

Imbagħad iċċekkja d-direzzjoni li n-nies jinsu: it-triq lura. Kull router tas-sit jeħtieġ rotta lejn il-pool tal-klijenti, u l-konċentratur jeħtieġ rotta lejn kull prefiss tas-sit li jservi. Tabella tal-prefissi pulita mingħajr triq lura lejn il-pool għadha disinn miksur, u s-sintomu huwa konnessjoni f’direzzjoni waħda li ma twieġeb xejn. Żomm iż-żewġ direzzjonijiet fl-istess tabella u rrevediha kull darba li jiżdied sit.

It-traduzzjoni u r-rinumru jissolvew problemi differenti

Meta sovrappożizzjoni diġà teżisti, hemm żewġ għażliet onesti u waħda mhux onesta. Ir-rinumru jneħħi l-kolliżjoni b’mod permanenti u jiswa tieqa ta’ manutenzjoni flimkien ma’ kull indirizz hardcoded li nsejt. It-traduzzjoni tal-indirizzi timmappa l-firxa privata ta’ naħa waħda f’firxa oħra fit-tarf tal-mina, li tħalli ż-żewġ siti intatti iżda żżid stat, tkisser protokolli li jinkorporaw indirizzi u tagħmel il-logs aktar diffiċli biex tinqrahom. L-għażla mhux onesta hija rotta tal-host għal server wieħed, li tgħaddi minn test wieħed u tfalli fil-bqija kollha.

Agħżel skont il-kontroll u l-għomor. Sit li tippossjedi u tista’ tippjana jappartjeni għat-triq tar-rinumru; netwerk ta’ sieħeb li ma tistax tmiss, użat għal applikazzjoni waħda, huwa kandidat għat-traduzzjoni b’mapping iddokumentat. Ikteb dak il-mapping, għax traduzzjoni li teżisti biss ġewwa fajl tal-konfigurazzjoni tispiċċa fil-mument li l-fajl jiġi sostitwit.

Ittestja min-naħa l-bogħida qabel ma tiddeploja

Ittestja minn netwerk li ma jospitax il-gateway, għax il-LAN tal-gateway stess jaħbi l-biċċa l-kbira tal-iżbalji tar-rotot. Qabbad klijent wara router tad-dar ordinarju, imbagħad ilħaq servizz f’kull sit u wieħed ġewwa l-pool tal-klijenti. Ittestja wkoll id-direzzjoni opposta, minn host tas-sit għall-klijent, għax it-toroq lura jfallu b’mod indipendenti. Test li jagħmel biss ping lill-gateway jipprova li l-mina hija ’l fuq u xejn aktar.

Żomm il-firxiet, is-sidien u l-mappings tat-traduzzjoni f’rekord wieħed kondiviż li s-sit li jmiss jaqra qabel ma jalloka xi ħaġa. Irrevedih meta jiżdied sit, u ttratta firxa mhux iddokumentata bħala difett u mhux bħala sorpriża.

Ir-rekord huwa r-riżultat. Pjan li jgħix fil-memorja ta’ tliet persuni jfalli l-ewwel darba li wieħed minnhom ikun bil-leave, u sovrappożizzjoni li tinstab fil-produzzjoni tiswa aktar milli kienet tiswa t-tabella.