Korleis dimensjonere adresseområdet for eit site-til-site-VPN

Spør kor stort VPN-subnettet bør vere, og det ærlege svaret er at det kan liggje fire ulike subnett inne i spørsmålet. Eit site-VPN kan omfatte transportendepunkt, nummererte tunnellenkjer, prefiksa til det verna LAN-et og, på styrte gatewayar, eit infrastruktur-subnett som leverandøren reserverer. Berre eitt eller to av dei finst i ein gitt design. Å dimensjonere dei ut frå talet på kontoreiningar er korleis ein plan endar med eit /24 som ingen blir nøgd med.

Namngje dei fire rollene før du tildeler noko

Transportendepunkt er adressene to gatewayar brukar for å nå kvarandre over internett eller ei privat linje, og talet på dei kjem frå gateway- og redundansmodellen, ikkje frå LAN-et. Indre tunnellenkjer finst berre der designet nummererer eit punkt-til-punkt-grensesnitt, noko ein policybasert IPsec-konfigurasjon vanlegvis ikkje gjer. Verna prefiks er dei verkelege kontor- eller VPC-netta som må kunne rutast, og det leverandørreserverte subnettet høyrer til den styrte tenesta.

Kartlegg det som alt finst før du legg til noko, for den dyre feilen her er å bruke om att eit prefiks som alt blir ruta ein annan stad. Ein gamal tunnel frå eit pilotprosjekt er nok til å forgifte ein plan. Skriv ned kartlegginga med datoar, for minnet om ei nedlagd lenkje lever lenger enn lenkja sjølv.

ip -br addr show
ip route show | head -40

Dei to kommandoane gir det lokale biletet av tilkopla nett og av rutene som når alt bortanfor dei. Gjenta kartlegginga på kvar stad, for ein plan bygd på utdata frå ein stad vil kollidere med den neste. Samle inn utdataa før du tildeler ein einaste blokk.

Tel lenkjer og topologi, ikkje einingar

Eit design med åtte punkt-til-punkt-naboen brukar åtte blokker, ikkje éi. Ved /30 brukar kvar blokk fire adresser på å kople to vertar, så planen ber trettito adresser for seksten brukbare endepunkt, og det er talet budsjettet må halde. Ein plattform som støttar /31-lenkjer brukar halvparten, men berre når begge endar og tenesta er samde om den modellen. Rund budsjettet oppover heller enn nedover, for å krympe ei blokk seinare tyder å nummerere om aktive lenkjer.

Avgrensningane til leverandøren slår vanleg praksis. Eit dokumentert indre tunnelområde kan krevje /30 sjølv der /31 verkar på rutaren din, og ein styrt gateway kan krevje ein bestemd maske for sitt eige subnett. Les tenestekravet før du brukar ein tommelfingerregel lånt frå ein annan plattform.

Eit fleirpunkts-overlegg endrar rekninga igjen: éi adresse per gateway, der overlegget tek seg av nåbarheita mellom dei. Avgjer kva topologi implementasjonen faktisk brukar før du gongar stader med ein blokkstorleik.

Vekst fortener si eiga line i planen. Å reservere eit samanhengande infrastrukturområde er rimeleg, og det same er å notere kva mindre tildelingar som ligg innanfor, så den neste ingeniøren ikkje les reservasjonen som eitt kringkastingsdomene.

Hald gateway-subnettet utanfor LAN-bassenget

Infrastrukturen til ein styrt gateway er ikkje eit klientbasseng. Adressene i eit reservert gateway-subnett husar komponentane til tenesta sjølv, og fjernarbeidarar hentar aldri frå dei. Å dimensjonere det subnettet ut frå brukartalet er ein kategorifeil som anten sløser bort eit stort område eller svelt gatewayen.

Det same gjeld tunnelområde på sky-VPN-tilkoplingar, der leverandøren tildeler eit lite indre område per tunnel til eige bruk. Det området er ikkje der filialtenarane dine bur, og det er ikkje ditt å dele ut.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Å liste opp ytre adresser stadfestar kva leverandøren tildelte og kva redundant tunnel som er oppe no. Det er raskare enn å lese eit designdokument skrive før tilkoplinga vart til.

Før opp rolle, eigar og vekst for kvart prefiks

Ein plan som overlever kontakten med drifta, oppgir for kvart prefiks kva rolle det spelar, kven som tildeler den fjerne enden og kor mykje plass det har att. Utan eigarfeltet tildeler to team det same /24 i same kvartal, og kollisjonen viser seg først når tunnelen kjem opp.

Hald desse områda fri for heime- og filialprefiks som kjem inn via andre tunnelar, for overlappande adresseområde er den vanlege grunnen til at ei tilkopling mellom stader forhandlar med suksess og deretter ikkje slepp gjennom nokon trafikk.

Å tildele indre lenkjeadresser annonserer ikkje LAN-a bak dei. Ruter eller trafikkveljarar, returvegar og tilgangsreglar er separate arbeidselement, og planen bør seie det i staden for å antyde at eit nummerert grensesnitt gjer rutinga for deg.