Slik budsjetterer du adresseplass for ein VPN med fleire lokasjonar

Kor stort VPN-subnettet bør vere, har ikkje noko svar før du namngir kva adresser du tel. I eitt design er dei adressene dei to endepunkta på ei nummerert tunnellenkje, i eit anna er dei LAN-et på kontoret bak ein policybasert tunnel, og i eit tredje er dei den reserverte infrastrukturen til ein administrert gateway. Tre objekt, tre budsjett, og dei fleste dimensjoneringsfeila kjem av å fylle éi kolonne med talet frå ei anna kolonne.

Fire roller, fire ulike spørsmål

Den ytre transporten er adressa ein peer koplar til, så storleiken følgjer den offentlege adresseringa di eller leverandøren si, aldri talet på einingar bak henne. Indre tunnellenkjer finst berre i design som nummererer eit virtuelt grensesnitt, og der følgjer talet naboskapa i topologien. Verna LAN-prefiks følgjer dei verkelege netta og vekstplanen deira. Infrastruktur som leverandøren reserverer, følgjer det den administrerte tenesta dokumenterer.

Berre den tredje av desse har noko med talet på berebäre datamaskinar på kontoret å gjere. Nettopp den forvekslinga forklarer dei fleste diskusjonane.

Skriv dei fire rollene som eigne kolonnar før du opnar ein kalkulator. Kvar får si eiga tildeling, eigar og vekstføresetnad, og ingen av dei arvar storleiken til ein annan. Når eit design ikkje har noka nummerert indre lenkje, er den kolonnen tom i staden for lita, og ein tom kolonne er eit faktum som er verdt å notere for neste gjennomgang.

Å telje blokker: kva eit /30 eigentleg kostar

Ei punkt-til-punkt-lenkje treng to adresser og brukar ein blokk der storleiken avheng av plattformen. Eit /30 rommar fire adresser, der to vanlegvis er brukbare, så tolv lenkjer brukar førtiåtte adresser i planen medan dei tilbyr tjuefire endepunkt. Eit /31 rommar to adresser og begge er brukbare, noko som halverer reknestykket, men berre der begge endar godtek det.

RFC 3021 definerer modellen med to adresser, og støtte er ein eigenskap ved endepunkta og tenesta snarare enn ved gode intensjonar. Ein leverandør-API kan påleggje sitt eige massekrav på eit indre tunnelval, og ein generell RFC opphevar ikkje ei dokumentert avgrensing. Kontroller kva plattformen din oppgir før du summerer budsjettet, fordi skilnaden mellom førtiåtte og tjuefire adresser avgjer om planen passar i det reserverte området. Rekn det ut i staden for å stole på det seint på ein lang dag.

ipcalc -n 10.44.12.0/30
ipcalc -n 10.44.12.4/31

Multipliser først når topologien er fastlagd. Tolv separate lenkjer og eitt fleirpunkts-overlegg med tolv deltakarar gir svært ulike totalar ut frå same talet på lokasjonar.

Subnettet til den administrerte gatewayen er ikkje ein klientpool

Ei administrert teneste reserverer ofte eit subnett for sin eigen gateway-infrastruktur, og det subnettet blir brukt av tenesta i staden for å bli gitt til klientar. Det har ein dokumentert storleik, nokre gonger eit dokumentert namn, og inga kopling til kor mange brukarar som koplar til. Å handsame det som adressepoolen for fjernmaskinar gir eit design som tømmer seg sjølv den første travle morgonen.

Les kravet frå leverandøren som ein fast kostnad, slik du ville handsame ei rackeining. Det er ikkje ein del av budsjettet for det verna prefikset.

Den same lesinga gjeld for namn. Eit subnett der det dokumenterte føremålet er gateway-infrastruktur, er infrastruktur etter sedvane i den tenesta, og å gje det nytt namn for å passe til ditt eige skjema øydelegg utrullinga i staden for å betere diagrammet. Behald namna og storleikane til leverandøren, og bruk ditt eige nummereringsskjema på delane du kontrollerer.

Dokumenter planen slik at han overlever den andre lokasjonen

Ein plan som lever i hovudet til éin ingeniør, feilar ved den første overlappinga mellom eit kontorprefiks og standardområdet til ein heimeruter. Publiser tildelingane med eigarane deira, og angi kva ende av kvar lenkje som tildeler kva adresse. Ruter eller selektorar må framleis annonserast, fordi nummerering av ei indre lenkje ikkje offentleggjer eit LAN i seg sjølv.

Noter vekstføresetnaden bak kvar blokk, fordi det er den delen ingen seinare lesar kan rekonstruere ut frå adressene åleine.

Test så planen mot dei vanskelege tilfella: ein lokasjon som kjem med eit prefiks du allereie brukar, ei lenkje der den fjerne enden blir administrert av nokon andre, og ein region der leverandørkravet avvik frå det første du dokumenterte. Viss noko av dette tvingar ei ny utforming, var det du hadde eit diagram og ikkje ein policy. Ein plan som overlever dei, er kort nok til å liggje i repositoriet ved sida av tunnelkonfigurasjonen, og det er nettopp der den neste personen vil leite etter han.