Como dimensionar o espaço de endereçamento de uma VPN entre sites

Pergunte qual deve ser o tamanho da sub-rede da VPN e a resposta honesta é que a pergunta pode conter quatro sub-redes diferentes. Uma VPN de site pode envolver extremidades de transporte, ligações de túnel numeradas, os prefixos da LAN protegida e, em gateways geridos, uma sub-rede de infraestrutura que o fornecedor reserva. Num dado desenho existem apenas uma ou duas dessas. Dimensioná-las a partir do número de dispositivos de escritório é como um plano acaba com uma /24 que não satisfaz ninguém.

Nomeie os quatro papéis antes de atribuir seja o que for

As extremidades de transporte são os endereços que dois gateways usam para se alcançarem através da internet ou de um circuito privado, e a sua contagem vem do modelo de gateway e redundância, não da LAN. As ligações de túnel internas só existem onde o desenho numera uma interface ponto a ponto, o que uma configuração IPsec baseada em políticas normalmente não faz. Os prefixos protegidos são as redes reais de escritório ou de VPC que têm de ser encaminháveis, e a sub-rede reservada pelo fornecedor pertence ao serviço gerido.

Inventarie o que já existe antes de acrescentar algo, porque o erro caro aqui é reutilizar um prefixo que já é encaminhado noutro lugar. Um túnel esquecido de um projeto-piloto basta para envenenar um plano. Registe o inventário com datas, porque a memória de uma ligação desativada sobrevive à própria ligação.

ip -br addr show
ip route show | head -40

Esses dois comandos dão a vista local das redes ligadas e das rotas que alcançam tudo o resto. Repita o inventário em cada site, porque um plano construído a partir da saída de um site vai colidir com a do seguinte. Recolha as saídas antes de atribuir um único bloco.

Conte ligações e topologia, não dispositivos

Um desenho com oito adjacências ponto a ponto consome oito blocos, não um. Em /30 cada bloco gasta quatro endereços para ligar dois hosts, pelo que o plano transporta trinta e dois endereços para dezasseis extremos utilizáveis, e é essa a cifra que o orçamento tem de suportar. Uma plataforma que suporta ligações /31 gasta metade, mas só quando ambos os lados e o serviço concordam com esse modelo. Arredonde o orçamento para cima em vez de para baixo, porque reduzir um bloco mais tarde obriga a renumerar ligações ativas.

As restrições do fornecedor vencem a prática geral. Um intervalo interno documentado pode exigir /30 mesmo onde /31 funciona nos seus routers, e um gateway gerido pode exigir uma máscara específica para a sua própria sub-rede. Leia o requisito do serviço antes de aplicar uma regra heurística emprestada de outra plataforma.

Uma sobreposição multiponto altera de novo a aritmética: um endereço por gateway, com a sobreposição a tratar da alcançabilidade entre eles. Decida qual topologia a implementação realmente usa antes de multiplicar sites por um tamanho de bloco.

O crescimento merece a sua própria linha no plano. Reservar um intervalo de infraestrutura coerente é razoável, e também o é anotar que alocações menores ficam dentro dele, para que o engenheiro seguinte não leia a reserva como um único domínio de difusão.

Mantenha a sub-rede do gateway fora do conjunto da LAN

A infraestrutura de um gateway gerido não é um conjunto de clientes. Os endereços numa sub-rede de gateway reservada alojam os componentes do próprio serviço, e os trabalhadores remotos nunca retiram deles. Dimensionar essa sub-rede a partir do número de utilizadores é um erro de categoria que ou desperdiça um intervalo grande ou deixa o gateway sem endereços.

O mesmo se aplica aos intervalos de túnel nas ligações VPN na nuvem, onde o fornecedor aloca um pequeno intervalo interno por túnel para seu próprio uso. Esse intervalo não é onde vivem os servidores da filial, e não é seu para distribuir.

aws ec2 describe-vpn-connections --query "VpnConnections[].{Id:VpnConnectionId,Tunnels:Tunnels[].OutsideIpAddress}" --output table

Listar os endereços externos confirma o que o fornecedor alocou e qual túnel redundante está ativo neste momento. É mais rápido do que ler um documento de desenho escrito antes de a ligação existir.

Registe papel, responsável e crescimento para cada prefixo

Um plano que sobrevive ao contacto com a operação declara, para cada prefixo, que papel desempenha, quem atribui a extremidade remota e quanto espaço livre contém. Sem o campo do responsável, duas equipas alocam a mesma /24 no mesmo trimestre e a colisão só aparece quando o túnel levanta.

Mantenha estes intervalos longe dos prefixos domésticos e de filial que chegam por outros túneis, porque a sobreposição de espaço é a razão habitual para uma ligação entre sites negociar com sucesso e depois não passar tráfego.

Atribuir endereços de ligação internos não anuncia as LANs por detrás deles. Rotas ou seletores de tráfego, caminhos de retorno e regras de acesso são itens de trabalho separados, e o plano deve dizê-lo em vez de sugerir que uma interface numerada faz o encaminhamento por si.