Kif tiddimensjona l-ispazju tal-indirizzi għal VPN bejn is-siti

Staqsi kemm għandu jkun kbir is-subnet tal-VPN u t-tweġiba onesta hi li jistgħu jkunu hemm erba’ subnets differenti ġewwa l-mistoqsija. VPN tas-sit jista’ jinvolvi estremitajiet tat-trasport, konnessjonijiet tat-tunnel innumerati, il-prefissi tal-LAN protetta u, fuq gateways maniġġjati, subnet tal-infrastruttura li jirriżerva l-fornitur. F’disinn partikolari jeżistu biss wieħed jew tnejn minn dawn. L-iddimensjonar tagħhom min-numru ta’ apparati tal-uffiċċju huwa kif pjan jispiċċa b’/24 li ma jissodisfa lil ħadd.

Semmi l-erba’ rwoli qabel ma talloka xi ħaġa

L-estremitajiet tat-trasport huma l-indirizzi li żewġ gateways jużaw biex jilħqu lil xulxin fuq l-internet jew ċirkwit privat, u l-għadd tagħhom ġej mill-mudell tal-gateway u r-redundanza, mhux mil-LAN. Il-konnessjonijiet tat-tunnel interni jeżistu biss fejn id-disinn innumera interface punt għal punt, li konfigurazzjoni IPsec ibbażata fuq il-politika normalment ma tagħmilx. Il-prefissi protetti huma n-netwerks reali tal-uffiċċju jew tal-VPC li għandhom ikunu jistgħu jiġu rrutjati, u s-subnet riżervat mill-fornitur jappartjeni lis-servizz maniġġjat.

Inventarja dak li diġà jeżisti qabel iżżid xi ħaġa, għax l-iżball għali hawn huwa li terġa’ tuża prefiss li diġà qed jiġi rrutjat x’imkien ieħor. Tunnel qadim minn proġett pilota biżżejjed biex jaħrab pjan. Ikteb l-inventar bid-dati, għax il-memorja ta’ konnessjoni żmuntata tgħix aktar mill-konnessjoni stess.

ip -br addr show
ip route show | head -40

Dawk iż-żewġ kmandi jagħtu l-ħarsa lokali tan-netwerks konnessi u tar-rotot li jilħqu kollox lil hinn minnhom. Errepeti l-inventar f’kull sit, għax pjan mibni fuq il-ħruġ ta’ sit wieħed se jikkollidi ma’ dak tas-sit li jmiss. Iġbor il-ħruġ qabel ma talloka blokk wieħed.

Għodd il-konnessjonijiet u t-topoloġija, mhux l-apparati

Disinn b’tmien aġġaċenzi punt għal punt jikkonsma tmien blokki, mhux wieħed. Fi /30 kull blokk jonfoq erba’ indirizzi biex jgħaqqad żewġ hosts, allura l-pjan iġorr tnejn u tletin indirizz għal sittax-il estremità użabbli, u dik hija l-figura li l-baġit irid idomm. Pjattaforma li tappoġġja konnessjonijiet /31 tonfoq nofs dan, imma biss meta ż-żewġ trufijiet u s-servizz jaqblu fuq dak il-mudell. Aqleb il-baġit ’il fuq aktar milli ’l isfel, għax li ċċekken blokk aktar tard ifisser li terġa’ tnumerizza konnessjonijiet ħajjin.

Ir-restrizzjonijiet tal-fornitur jegħlbu l-prattika ġenerali. Firxa tat-tunnel interna dokumentata tista’ teħtieġ /30 anki fejn /31 jaħdem fuq ir-router tiegħek, u gateway maniġġjat jista’ jitlob maskra speċifika għas-subnet tiegħu stess. Aqra r-rekwiżit tas-servizz qabel ma tapplika regola bażika mislufa minn pjattaforma oħra.

Overlay multipunt jerġa’ jbiddel l-aritmetika: indirizz wieħed għal kull gateway, bl-overlay jimmaniġġja l-aċċessibbiltà bejniethom. Iddeċiedi liema topoloġija tuża verament l-implimentazzjoni qabel ma timmultiplika s-siti b’daqs ta’ blokk.

It-tkabbir jistħoqqlu linja tiegħu fil-pjan. Li tirriżerva firxa tal-infrastruttura koerenti huwa raġonevoli, u hekk ukoll li tinnota liema allokazzjonijiet iżgħar jinsabu fiha, sabiex l-inġinier li jmiss ma jaqrax ir-riżerva bħala dominju wieħed tax-xandir.

Żomm is-subnet tal-gateway barra mill-pool tal-LAN

L-infrastruttura ta’ gateway maniġġjat mhijiex pool tal-klijenti. L-indirizzi f’subnet tal-gateway riżervat jospitaw il-komponenti tas-servizz stess, u l-ħaddiema mill-bogħod qatt ma jiġbdu minnhom. L-iddimensjonar ta’ dak is-subnet min-numru tal-utenti huwa żball ta’ kategorija li jew jaħli firxa kbira jew iġġiegħel il-gateway bil-ġuħ.

L-istess jgħodd għall-firxiet tat-tunnel fuq konnessjonijiet VPN fil-cloud, fejn il-fornitur jalloka firxa interna żgħira għal kull tunnel għall-użu tiegħu stess. Dik il-firxa mhijiex fejn jgħixu s-servers tal-fergħa tiegħek, u mhijiex tiegħek biex tqassamha.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Li telenka l-indirizzi esterni jikkonferma x’jalloka l-fornitur u liema tunnel redundant bħalissa huwa attiv. Huwa aktar mgħaġġel milli taqra dokument tad-disinn miktub qabel ma kienet teżisti l-konnessjoni.

Irrekordja rwol, sid u tkabbir għal kull prefiss

Pjan li jibqa’ ħaj fil-kuntatt mal-operat jgħid, għal kull prefiss, liema rwol għandu, min jalloka t-tarf ’il bogħod u kemm fadallu spazju. Mingħajr il-qasam tas-sid, żewġ timijiet jallokaw l-istess /24 fl-istess trimestru u l-kolliżjoni tidher biss meta jitla’ t-tunnel.

Żomm dawn il-firxiet ’il bogħod mill-prefissi tad-dar u tal-fergħa li jaslu minn tunnels oħra, għax l-ispazju sovrappost huwa r-raġuni tas-soltu għaliex konnessjoni bejn is-siti tinnegozja b’suċċess u mbagħad ma tgħaddix traffiku.

L-assenjar ta’ indirizzi tal-konnessjoni interna ma jxandarx il-LANs warajhom. Rotot jew seletturi tat-traffiku, mogħdijiet tar-ritorn u regoli tal-aċċess huma punti tax-xogħol separati, u l-pjan għandu jgħid dan minflok jimplika li interface innumerat jagħmel ir-routing għalik.