Jak zaplanować przestrzeń adresową dla VPN obejmującego wiele lokalizacji

Jak duża powinna być podsieć VPN, nie ma odpowiedzi, dopóki nie nazwiesz adresów, które liczysz. W jednym projekcie to dwa końce numerowanego łącza tunelowego, w innym sieć LAN biura za tunelem opartym na zasadach, a w trzecim zarezerwowana infrastruktura zarządzanej bramy. Trzy obiekty, trzy budżety, a większość błędów w wymiarowaniu wynika z wypełniania jednej kolumny liczbą z innej.

Cztery role, cztery różne pytania

Transport zewnętrzny to adres, z którym łączy się peer, więc jego rozmiar wynika z twojej adresacji publicznej albo adresacji dostawcy, nigdy z liczby urządzeń za nim. Wewnętrzne łącza tunelowe istnieją tylko w projektach, które numerują interfejs wirtualny, i tam liczba wynika z sąsiedztw topologii. Prefiksy chronionej sieci LAN wynikają z rzeczywistych sieci i ich planu wzrostu. Infrastruktura zarezerwowana przez dostawcę wynika z tego, co dokumentuje zarządzana usługa.

Tylko trzeci z nich ma jakikolwiek związek z liczbą laptopów w biurze. Właśnie to jedno pomieszanie wyjaśnia większość sporów.

Zapisz cztery role jako osobne kolumny, zanim otworzysz kalkulator. Każda dostaje własny przydział, właściciela i założenie wzrostu, i żadna nie dziedziczy rozmiaru innej. Gdy projekt nie ma numerowanego łącza wewnętrznego, ta kolumna jest pusta, a nie mała, a pusta kolumna to fakt, który warto zapisać dla następnego recenzenta.

Liczenie bloków: ile naprawdę kosztuje /30

Łącze punkt-punkt potrzebuje dwóch adresów i zużywa blok, którego rozmiar zależy od platformy. /30 zawiera cztery adresy, z których dwa są zwykle użyteczne, więc dwanaście łączy zużywa czterdzieści osiem adresów w planie, oferując dwadzieścia cztery końce. /31 zawiera dwa adresy i oba są użyteczne, co zmniejsza arytmetykę o połowę, ale tylko tam, gdzie oba końce to akceptują.

RFC 3021 definiuje model dwóch adresów, a wsparcie jest cechą końców i usługi, nie dobrych intencji. API dostawcy może narzucić własne wymaganie maski na wewnętrznej opcji tunelu, a ogólny RFC nie uchyla udokumentowanego ograniczenia. Sprawdź, co deklaruje twoja platforma, zanim podsumujesz budżet, bo różnica między czterdziestoma ośmioma a dwudziestoma czterema adresami decyduje, czy plan mieści się w zarezerwowanym zakresie. Policz to, zamiast ufać temu pod koniec długiego dnia.

ipcalc -n 10.44.12.0/30
ipcalc -n 10.44.12.4/31

Mnoż dopiero po ustaleniu topologii. Dwanaście osobnych łączy i jedna nakładka wielopunktowa z dwunastoma uczestnikami dają bardzo różne sumy przy tej samej liczbie lokalizacji.

Podsieć zarządzanej bramy nie jest pulą klientów

Zarządzana usługa często rezerwuje podsieć na własną infrastrukturę bramy, a ta podsieć jest zużywana przez usługę, a nie przekazywana klientom. Ma udokumentowany rozmiar, czasem udokumentowaną nazwę, i żadnego związku z tym, ilu użytkowników się łączy. Traktowanie jej jako puli adresów dla maszyn zdalnych daje projekt, który wyczerpuje się już pierwszego zajętego poranka.

Czytaj wymaganie dostawcy jako koszt stały, tak jak traktowałbyś jednostkę racka. Nie jest częścią budżetu chronionego prefiksu.

To samo czytanie dotyczy nazw. Podsieć, której udokumentowanym celem jest infrastruktura bramy, jest w tej usłudze infrastrukturą z konwencji, a zmiana jej nazwy, by pasowała do twojego schematu, psuje wdrożenie, zamiast poprawiać diagram. Zachowaj nazwy i rozmiary dostawcy, a własny schemat numeracji wydaj na części, które kontrolujesz.

Udokumentuj plan, aby przetrwał drugą lokalizację

Plan, który żyje w głowie jednego inżyniera, zawodzi przy pierwszym nakładaniu się prefiksu biura i domyślnego zakresu domowego routera. Opublikuj przydziały wraz z ich właścicielami i wskaż, który koniec każdego łącza przydziela który adres. Trasy lub selektory nadal trzeba ogłaszać, ponieważ numerowanie łącza wewnętrznego samo w sobie nie publikuje sieci LAN.

Zapisz założenie wzrostu za każdym blokiem, bo to jest ta część, której żaden późniejszy czytelnik nie odtworzy wyłącznie z adresów.

Potem przetestuj plan na niewygodnych przypadkach: lokalizacja, która przychodzi z prefiksem, którego już używasz, łącze, którego drugi koniec zarządza ktoś inny, i region, którego wymaganie dostawcy różni się od pierwszego udokumentowanego. Jeśli którekolwiek z nich wymusza przeprojektowanie, to, co miałeś, było diagramem, a nie polityką. Plan, który je przetrwa, jest wystarczająco krótki, by leżeć w repozytorium obok konfiguracji tunelu, i właśnie tam następna osoba będzie go szukać.