Plan subnets vóór een site-VPN: hernummeren of vertalen

Twee kantoren gebruiken allebei 192.168.1.0/24 omdat niemand iets anders had gepland, en de tunnel wordt geacht dat op te lossen. Dat kan hij niet: een router kan niet hetzelfde privéadres twee verschillende plaatsen laten betekenen. Het werk dat dat voorkomt, gebeurt voordat de eerste tunnelparameter wordt getypt.

Inventariseer elk bereik, ook de vergeten

Verzamel de LAN's, serversegmenten, clientpools voor externe toegang, cloud-VPC-bereiken en elk container- of overlay-netwerk dat hosts moeten bereiken. Clientpools zijn degenen die mensen vergeten, en ze overlappen verrassend vaak met een kantoorbereik omdat beide uit dezelfde standaardwaarde zijn gekozen. Neem het beheernetwerk en elk out-of-band-segment mee.

Noteer eigenaar, gateway, doel en of het prefix vanaf de andere site bereikbaar moet zijn. Een prefix dat nooit door de tunnel hoeft, hoeft niet uniek te zijn, en dat weten vermindert het hernummerwerk.

Doe IPv6 apart, omdat het plan en de overlappen onafhankelijk zijn.

Vergelijk prefixen, niet bekende adressen

Twee netwerken met verschillende hostadressen kunnen elkaar nog steeds overlappen, omdat overlap een eigenschap van masks is en niet van de getallen die mensen onthouden. 10.20.0.0/16 bevat 10.20.30.0/24 of iemand dat nu hardop zegt of niet. Vergelijk volledige prefixparen en controleer aggregaten tegen de kleinere netwerken erin. Daarom hoort de controle in een spreadsheet en niet in iemands hoofd.

Dezelfde controle geldt voor de eigen clientpool van de VPN en voor elk vertaald bereik dat u wilt invoeren, omdat een vertaald bereik dat botst erger is dan de oorspronkelijke overlap.

Een tabel met prefixen en masks is genoeg; een diagram zonder masks niet.

Beslis wat er echt moet oversteken

Een site kan dertig subnets bevatten terwijl één servicenetwerk externe toegang nodig heeft. Begin bij die eis en adverteer alleen wat hij nodig heeft, want kleinere aankondigingen en bijpassende toegangsregels zijn makkelijker te controleren en moeilijker per ongeluk te verruimen. Elke privé-range in gebruik aankondigen is een gewoonte die een tunnel in een brug verandert. Hoe smaller de aankondiging, hoe kleiner de impactstraal van een toekomstige fout.

Privé-DNS moet adressen retourneren die de bedoelde clients kunnen bereiken, dus een naam die naar een niet-aangekondigd of overlappend bereik wijst, blijft kapot ook als de opzoeking lukt.

Schrijf de toegangslijst vóór de tunnelconfiguratie, niet nadat die is mislukt.

Hernummer of vertaal, en ken de kosten

Het hernummeren van één netwerk is meestal de duidelijkste oplossing op lange termijn, en het raakt reserveringen, apparaten, DNS, firewallregels en alles met een adres in een configuratie. Het vertalen van een toegangsbereik is het alternatief wanneer hernummeren onpraktisch is, en het kost bronidentiteit plus een klasse protocollen die adressen in payloads insluiten. Kies er één en maak het af, want een half gehernummerd netwerk is erger dan beide opties.

Wat u ook kiest, documenteer zowel het oorspronkelijke als het gepresenteerde adres, want elk later probleemoplossingsgesprek heeft ze nodig.

Een omweg zonder terugweg is geen omweg.

Gebruik een routematrix als acceptatietest

Sluit af met een matrix: lokaal prefix, extern prefix, toegestane dienst en retourgateway. Die tabel is de acceptatietest wanneer de tunnel omhoog komt, en het is ook het document dat de volgende ingenieur zal lezen. Test vanaf echte hosts op de gekozen subnets in plaats van vanaf de gateways.

Een ping tussen tunneladressen bewijst dat de tunnel bestaat en niets over het adresplan erachter.

Bewaar de matrix bij de tunnelconfiguratie, en de volgende site-toevoeging begint bij data in plaats van geheugen. De strongSwan-handleiding voor doorsturen dekt de gatewaykant zodra het plan bestaat.