Plan private VPN-adresseområde før nettstader kolliderer

To nettstader som båe brukar 192.168.1.0/24, kan kvar for seg nå internett og likevel ikkje nå kvarandre. Gatewayen rapporterer ingen feil; han installerer éi rute for det prefikset og sender kvar pakke til den parten som kravde det først. Ingenting i handtrykket, chiffersamlinga eller grensesnittmetrikken seier kven part som tek feil. Adresseplanlegging er den delen av designet som avgjer dette før nokon koplar til.

Inventariser kvart område som må vere tilgjengeleg

Skriv ned områda som må rutast, ikkje berre dei du konfigurerer. Det tyder nettstadane sine LAN, VPN-klientbasseng, nettsky-underlag, administrasjons- og out-of-band-nettverk, laboratoriedelar og nettverka brukarane vanlegvis koplar til frå heimen. Ein forbrukarruter som blir levert som 192.168.1.0/24, er ikkje hypotetisk, og same prefiks dukkar opp på hotell og konferansesenter. Inventaret er ein tabell over prefiks, eigar og føremål, og det er det einaste artefaktet som hindrar at same område blir delt ut to gonger.

Legg til prefiksa du ventar det neste året, fordi ein plan som berre dekkjer i dag, feilar på den første nye nettstaden. Merk kvar rad med kven som kan endre henne, ikkje berre kven som eig henne.

Det er gjenbruken som gjer dette vanskeleg: det private rommet er endeleg, og kvar organisasjon reknar 10.0.0.0/8 som sitt eige. Ein plan kan ikkje love at ingen framtidig gjeste-LAN landar på eitt av prefiksa dine, så designet må seie kva som skjer når det gjer det. To reglar gjer mesteparten av arbeidet. Legg klientbasseng i éin samanhengande blokk du kan oppsummere, og tildel aldri eit område eit anna team allereie ruter. Alt anna er ei forteikning som nokon held oppdatert.

Kvifor ei overlapping sigrar over rutetabellen

Ei rute er eit prefiks pluss eit neste hopp, og videresending vel det lengste samsvarande prefikset. Når to partar båe krev same 192.168.1.0/24, har tabellen éi oppføring for det, så trafikk for båe nettstadane går ut gjennom same tunnel. Den andre nettstaden er ikkje feilkonfigurert; han er uoppnåeleg fordi den første svarer for dei same adressene. Ingen metrikk kan skilje dei, fordi samsvaret skjer før metrikkar blir konsulterte.

Feilen er asymmetrisk og lett å lese feil. Vertar på nettstad A når gatewayen og nokre tenester, medan vertane på nettstad B ikkje svarer på noko, og loggen viser ein sunn tunnel i båe retningar. Det mønsteret er ein adressekollisjon og ikkje ein feil i autentisering eller brannmur, og å stadfeste det krev ein tabellutskrift samanlikna med inventaret.

Dimensjoner klientbassenget og områda til nettstadane med vilje

Eit VPN-klientbasseng er eit område gatewayen deler ut éi adresse om gongen, så storleiken avgrensar samtidigheita. Eit /24 rommar 254 brukbare adresser, noko som er rundhøveleg for eit lite team og trongt for ein filial som køyrer containerar; eit /22 kostar ingenting ekstra i det private rommet og fjernar diskusjonen. Hald bassenget samanhengande og unna kvar nettstad sitt LAN, slik at samleruta mot klientane aldri sluker ein nettstad. Reserver området sjølv når bassenget er tomt, fordi eit ubeskrive område er det neste ingeniør tildeler.

Nettstadar får område dimensjonerte for venta vertar pluss vekst, justerte på ei grense som blir oppsummert reint. Medvitne hol mellom tildelingar kostar ingenting og kjøper plass til seinare aggregering.

Sjekk så retninga folk gløymer: returvegen. Kvar nettstadruter treng ei rute til klientbassenget, og konsentratoren treng ei rute til kvart nettstadprefiks han betener. Ein ryddig prefikstabell utan veg tilbake til bassenget er framleis eit brote design, og symptomet er ei einvegsforbinding som ikkje svarer på noko. Hald båe retningane i same tabell og gå gjennom han kvar gong ein nettstad blir lagd til.

Omsetjing og omnummerering løyser ulike problem

Når ei overlapping allereie finst, er det to ærlege alternativ og eitt uærleg. Omnummerering fjernar kollisjonen permanent og kostar eit vedlikehaldsvindauge pluss kvar hardkoda adresse du gløymde. Adresseomsetjing mappar det private området til den eine sida til eit anna område ved tunnelkanten, noko som lèt båe nettstadane vere urørte, men legg til tilstand, bryt protokollar som byggjer inn adresser og gjer loggane vanskelegare å lese. Det uærlege alternativet er ei vertsrute til éin einaste tenar, som står gjennom éin test og feilar på alt anna.

Vel etter kontroll og levetid. Ein nettstad du eig og kan planleggje, høyrer på omnummereringsvegen; eit partnarnettverk du ikkje kan røre, brukt til éin applikasjon, er ein kandidat for omsetjing med ein dokumentert mapping. Skriv den mappingen ned, for omsetjing som berre finst inne i ei konfigurasjonsfil, forsvinn i det augneblinken fila blir erstatta.

Test frå den fjerne sida før du rullar ut

Test frå eit nettverk som ikkje er vert for gatewayen, fordi gatewayen sitt eige LAN gøymer dei fleste ruteleifane. Kopla ein klient bak ein vanleg heimeruter, og nå deretter ei teneste på kvar nettstad og éi inne i klientbassenget. Test også motsett retning, frå ein nettstadvert til klienten, fordi returvegar feilar uavhengig. Ein test som berre pingar gatewayen, provar at tunnelen er oppe og ikkje noko meir.

Hald område, eigarar og omsetjingsmappingar i éi delt forteikning som den neste nettstaden les før han tildeler noko. Gå gjennom henne når ein nettstad blir lagd til, og handsam eit udokumentert område som ein defekt og ikkje som ei overrasking.

Fortekninga er leveransen. Ein plan som lever i minnet til tre personar, feilar første gong ein av dei er på ferie, og ei overlapping funnen i produksjon kostar meir enn tabellen ville ha kosta.