Jak dobrać rozmiar przestrzeni adresowej dla VPN między oddziałami

Zapytaj, jak duża ma być podsieć VPN, a uczciwa odpowiedź brzmi: w pytaniu mogą mieścić się cztery różne podsieci. VPN oddziałowy może obejmować punkty końcowe transportu, numerowane łącza tunelu, prefiksy chronionej sieci LAN oraz, na bramach zarządzanych, podsieć infrastruktury rezerwowaną przez dostawcę. W danym projekcie istnieje tylko jedna lub dwie z nich. Wymiarowanie ich na podstawie liczby urządzeń biurowych to sposób, w jaki plan kończy się adresem /24, który nikogo nie zadowala.

Nazwij cztery role, zanim cokolwiek przydzielisz

Punkty końcowe transportu to adresy, których dwie bramy używają, by sięgać się nawzajem przez internet lub łącze prywatne, a ich liczba wynika z modelu bramy i redundancji, nie z sieci LAN. Wewnętrzne łącza tunelu istnieją tylko tam, gdzie projekt numeruje interfejs punkt-punkt, czego konfiguracja IPsec oparta na politykach zwykle nie robi. Chronione prefiksy to rzeczywiste sieci biurowe lub VPC, które muszą być routowalne, a podsieć zarezerwowana przez dostawcę należy do usługi zarządzanej.

Zinwentaryzuj to, co już istnieje, zanim coś dodasz, bo kosztownym błędem jest tu ponowne użycie prefiksu, który jest już routowany gdzie indziej. Stary tunel z projektu pilotażowego wystarczy, by zatruć plan. Zapisz inwentarz z datami, bo pamięć o wycofanym łączu żyje dłużej niż samo łącze.

ip -br addr show
ip route show | head -40

Te dwa polecenia dają lokalny obraz podłączonych sieci oraz tras, które sięgają wszystkiego poza nimi. Powtórz inwentaryzację w każdym oddziale, bo plan zbudowany z wyniku jednego oddziału zderzy się z wynikiem następnego. Zbierz wyniki, zanim przydzielisz choćby jeden blok.

Licz łącza i topologię, a nie urządzenia

Projekt z ośmioma sąsiedztwami punkt-punkt zużywa osiem bloków, a nie jeden. Przy /30 każdy blok zużywa cztery adresy, by połączyć dwa hosty, więc plan niesie trzydzieści dwa adresy dla szesnastu użytecznych punktów końcowych i to jest liczba, którą budżet musi udźwignąć. Platforma obsługująca łącza /31 zużywa połowę, ale tylko wtedy, gdy oba końce i usługa zgadzają się co do tego modelu. Zaokrąglaj budżet w górę, a nie w dół, bo zmniejszenie bloku później oznacza przenumerowanie działających łącz.

Ograniczenia dostawcy biją ogólną praktykę. Udokumentowany wewnętrzny zakres tunelu może wymagać /30 nawet tam, gdzie /31 działa na twoich routerach, a zarządzana brama może żądać konkretnej maski dla własnej podsieci. Przeczytaj wymóg usługi, zanim zastosujesz zasadę z innej platformy.

Nakładka wielopunktowa znów zmienia arytmetykę: jeden adres na bramę, a nakładka obsługuje osiągalność między nimi. Zdecyduj, której topologii implementacja faktycznie używa, zanim pomnożysz oddziały przez rozmiar bloku.

Wzrost zasługuje na własną pozycję w planie. Zarezerwowanie spójnego zakresu infrastruktury jest rozsądne, podobnie jak zapisanie, jakie mniejsze przydziały się w nim mieszczą, żeby następny inżynier nie czytał rezerwacji jako jednej domeny rozgłoszeniowej.

Trzymaj podsieć bramy poza pulą sieci LAN

Infrastruktura zarządzanej bramy nie jest pulą klientów. Adresy w zarezerwowanej podsieci bramy hostują własne komponenty usługi, a pracownicy zdalni nigdy z nich nie czerpią. Wymiarowanie tej podsieci na podstawie liczby użytkowników to błąd kategorii, który albo marnuje duży zakres, albo głodzi bramę.

To samo dotyczy zakresów tuneli w połączeniach VPN w chmurze, gdzie dostawca przydziela mały zakres wewnętrzny na tunel do własnego użytku. Ten zakres nie jest miejscem, w którym mieszkają serwery oddziału, i nie jest twój do rozdawania.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Wyświetlenie adresów zewnętrznych potwierdza, co przydzielił dostawca i który zapasowy tunel jest obecnie aktywny. To szybsze niż czytanie dokumentu projektowego napisanego, zanim połączenie istniało.

Zapisuj rolę, właściciela i wzrost dla każdego prefiksu

Plan, który przetrwa kontakt z eksploatacją, określa dla każdego prefiksu, jaką pełni rolę, kto przydziela drugi koniec i ile ma zapasu. Bez pola właściciela dwa zespoły przydzielają ten sam /24 w tym samym kwartale, a kolizja wychodzi dopiero przy podnoszeniu tunelu.

Trzymaj te zakresy z dala od prefiksów domowych i oddziałowych przychodzących innymi tunelami, bo nakładająca się przestrzeń to zwykła przyczyna, dla której połączenie między oddziałami negocjuje się poprawnie, a potem nie przepuszcza ruchu.

Przydzielanie wewnętrznych adresów łącza nie ogłasza sieci LAN za nimi. Trasy lub selektory ruchu, ścieżki powrotne i reguły dostępu to osobne zadania, a plan powinien to mówić, zamiast sugerować, że numerowany interfejs wykona routing za ciebie.