Planirajte privatne VPN adresne raspone prije nego se lokacije sudare

Dve lokacije koje obe koriste 192.168.1.0/24 mogu svaka da dođe do interneta i ipak ne mogu da dođu jedna do druge. Pristupnik ne prijavljuje grešku; on instalira jednu rutu za taj prefiks i šalje svaki paket onom partneru koji ga je prvi zatražio. Ništa u rukovanju, listi šifri ni metrici interfejsa ne kaže koji partner nije u pravu. Planiranje adresa je deo dizajna koji to rešava pre nego što se bilo ko poveže.

Popišite svaki prostor koji mora biti dostupan

Zapišite raspone koje treba rutirati, ne samo one koje konfigurišete. To znači lokalne mreže lokacija, klijentske bazene VPN-a, cloud podmreže, mreže za upravljanje i one izvan opsega, laboratorijske segmente i mreže s kojih se korisnici redovno povezuju od kuće. Potrošački ruter koji se isporučuje kao 192.168.1.0/24 nije hipotetički, a isti prefiks se pojavljuje u hotelima i konferencijskim salama. Popis je tabela prefiksa, vlasnika i namene i jedini je artefakt koji sprečava da se isti raspon dodeli dvaput.

Dodajte prefikse koje očekujete tokom sledeće godine, jer plan koji pokriva samo danas pada na prvoj novoj lokaciji. Označite u svakom redu ko ga može menjati, ne samo ko ga poseduje.

Ponovna upotreba je ono što ovo čini teškim: privatni prostor je konačan i svaka organizacija 10.0.0.0/8 smatra svojim. Plan ne može da obeća da gostujuća mreža neće sleteti na jedan od vaših prefiksa, pa dizajn mora da kaže šta se dogodi kad se to dogodi. Dva pravila rade većinu posla. Stavite klijentske bazene u jedan susedni blok koji možete sažeti i nikada ne dodeljujte raspon koji drugi tim već rutira. Sve ostalo je zapis koji neko održava ažurnim.

Zašto preklapanje pobeđuje tabelu rutiranja

Ruta je prefiks plus sledeći skok, a prosleđivanje bira najduži prefiks koji se poklapa. Kada dva partnera oba traže 192.168.1.0/24, tabela drži jedan zapis za njega, pa saobraćaj za obe lokacije izlazi kroz isti tunel. Druga lokacija nije pogrešno konfigurisana; ona je nedostupna jer prva odgovara za iste adrese. Nijedna metrika ne može da ih razdvoji, jer se poklapanje događa pre nego što se metrike konsultuju.

Kvar je asimetričan i lako se pogrešno pročita. Hostovi na lokaciji A dostižu pristupnik i neke servise, dok hostovi lokacije B ne odgovaraju ništa, a log pokazuje zdrav tunel u oba smera. Taj obrazac je sudar adresa, a ne greška autentifikacije ili zaštitnog zida, i potvrđivanje zahteva jedan ispis tabele upoređen s popisom.

Namerno odredite veličinu klijentskog bazena i raspona lokacija

Klijentski bazen VPN-a je raspon koji pristupnik deli adresu po adresu, pa njegova veličina ograničava istovremenost. /24 drži 254 upotrebljive adrese, što je izdašno za mali tim i tesno za ogranak koji pokreće kontejnere; /22 ne košta ništa dodatno unutar privatnog prostora i uklanja raspravu. Držite bazen susednim i podalje od svake lokalne mreže lokacije, da sažeta ruta prema klijentima nikada ne proguta lokaciju. Rezervišite raspon čak i dok je bazen prazan, jer nezapisani raspon je onaj koji će dodeliti sledeći inženjer.

Lokacije dobijaju raspone dimenzionisane za očekivane hostove plus rast, poravnate na granici koja se čisto sažima. Namerni razmaci između dodela ne koštaju ništa i kupuju prostor za kasnije agregiranje.

Zatim proverite smer koji ljudi zaboravljaju: povratni put. Svaki ruter lokacije treba rutu do klijentskog bazena, a koncentrator treba rutu do svakog prefiksa lokacije koju opslužuje. Uredna tabela prefiksa bez puta natrag do bazena i dalje je pokvaren dizajn, a simptom je jednosmerna veza koja ništa ne odgovara. Držite oba smera u istoj tabeli i pregledajte je kad se doda lokacija.

Prevođenje i prenumerisanje rešavaju različite probleme

Kada preklapanje već postoji, postoje dve poštene opcije i jedna nepoštena. Prenumerisanje trajno uklanja sudar i košta prozor za održavanje plus svaku hardkodiranu adresu koju ste zaboravili. Prevođenje adresa preslikava privatni raspon jedne strane u drugi raspon na ivici tunela, što ostavlja obe lokacije netaknutima ali dodaje stanje, lomi protokole koji ugrađuju adrese i čini logove težim za čitanje. Nepoštena opcija je host ruta do jednog servera, koja prolazi jedan test i pada na svemu ostalom.

Birajte po kontroli i trajanju. Lokacija koju posedujete i možete da planirate pripada putu prenumerisanja; partnerska mreža koju ne možete da dirate, korišćena za jednu aplikaciju, kandidat je za prevođenje s dokumentovanim mapiranjem. Zapišite to mapiranje, jer prevođenje koje postoji samo unutar konfiguracione datoteke nestaje u trenutku kad se datoteka zameni.

Testirajte s udaljene strane pre uvođenja

Testirajte s mreže koja ne hostuje pristupnik, jer sopstvena lokalna mreža pristupnika skriva većinu grešaka rutiranja. Povežite klijenta iza običnog kućnog rutera, zatim dođite do servisa na svakoj lokaciji i jednog unutar klijentskog bazena. Testirajte i obrnut smer, s hosta lokacije na klijenta, jer povratni putevi padaju nezavisno. Test koji samo pinguje pristupnik dokazuje da je tunel podignut i ništa više.

Držite raspone, vlasnike i mapiranja prevođenja u jednom zajedničkom zapisu koji sledeća lokacija čita pre nego što išta dodeli. Pregledajte ga kad se doda lokacija i tretirajte nedokumentovan raspon kao defekt, a ne kao iznenađenje.

Zapis je rezultat. Plan koji živi u sećanju tri osobe pada prvi put kad je jedna od njih na odmoru, a preklapanje pronađeno u produkciji košta više nego što bi tabela koštala.