Planirajte podmreže pre VPN-a između lokacija: prenumerišite ili prevedite

Dve kancelarije koriste 192.168.1.0/24 jer niko nije planirao drugačije, a od tunela se očekuje da to reši. Ne može: ruter ne može da učini da ista privatna adresa znači dva različita mesta. Rad koji to sprečava odvija se pre nego što se upiše prvi parametar tunela.

Popišite svaki opseg, uključujući one koje ste zaboravili

Prikupljajte LAN-ove, serverske segmente, skupove klijenata za daljinski pristup, opsege cloud VPC-a i sve kontejnerske ili overlay mreže do kojih hostovi moraju da dođu. Skupovi klijenata su ono što ljudi zaboravljaju i iznenađujuće se često preklapaju sa kancelarijskim opsegom jer su oba izabrana iz iste podrazumevane vrednosti. Uključite upravljačku mrežu i svaki out-of-band segment.

Zabeležite vlasnika, gateway, svrhu i da li prefiks mora biti dostupan sa druge lokacije. Prefiks koji nikada ne treba da pređe tunel ne mora biti jedinstven, a znanje o tome smanjuje posao prenumeracije.

IPv6 radite odvojeno, jer su njegov plan i njegova preklapanja nezavisni.

Upoređujte prefikse, ne poznate adrese

Dve mreže sa različitim adresama hostova i dalje mogu da se preklapaju, jer je preklapanje svojstvo maski, a ne brojeva koje ljudi pamte. 10.20.0.0/16 sadrži 10.20.30.0/24 bez obzira na to da li to neko izgovara naglas. Upoređujte pune parove prefiksa i proveravajte agregate prema manjim mrežama unutar njih. Zato provera pripada u tabelu, a ne u nečiju glavu.

Ista provera važi za sopstveni skup klijenata VPN-a i za svaki prevedeni opseg koji planirate da uvedete, jer je prevedeni opseg koji se sudara gori od izvornog preklapanja.

Tabela prefiksa sa maskama je dovoljna; dijagram bez maski nije.

Odlučite šta zaista mora da pređe

Lokacija može da sadrži trideset podmreža, dok je jednoj servisnoj mreži potreban daljinski pristup. Pođite od tog zahteva i oglašavajte samo ono što mu treba, jer su manji oglasi i odgovarajuća pravila pristupa lakši za pregled i teži za slučajno proširenje. Oglašavanje svakog privatnog opsega u upotrebi navika je koja tunel pretvara u most. Što je oglas uži, to je manji radijus buduće greške.

Privatni DNS mora da vraća adrese do kojih predviđeni klijenti mogu da dođu, pa ime koje pokazuje na neoglašeni ili preklapajući opseg ostaje pokvareno čak i kada pretraga uspe.

Napišite listu pristupa pre konfiguracije tunela, a ne nakon što ne uspe.

Prenumerišite ili prevedite i znajte cenu

Prenumeracija jedne mreže obično je najjasniji dugoročni lek i dotiče rezervacije, uređaje, DNS, pravila firewall-a i sve što ima adresu ugrađenu u konfiguraciju. Prevođenje pristupnog opsega alternativa je kada je prenumeracija nepraktična, a košta identitet izvora plus klasu protokola koji ugrađuju adrese u payload. Izaberite jedno i dovršite, jer je napola prenumerisana mreža gora od bilo koje opcije.

Šta god odabrali, dokumentujte i originalnu i predstavljenu adresu, jer svaki kasniji razgovor o rešavanju problema treba obe.

Zaobilazno rešenje bez povratne putanje nije zaobilazno rešenje.

Koristite matricu ruta kao prijemni test

Završite matricom: lokalni prefiks, udaljeni prefiks, dozvoljena usluga i povratni gateway. Ta tabela je prijemni test kada se tunel podigne, a to je i dokument koji će sledeći inženjer čitati. Testirajte sa pravih hostova na odabranim podmrežama, a ne sa gateway-a.

Ping između adresa tunela dokazuje da tunel postoji i ništa o planu adresa iza njega.

Držite matricu uz konfiguraciju tunela i sledeće dodavanje lokacije počinje iz podataka, a ne iz sećanja. Kada plan postoji, strongSwan vodič za prosleđivanje pokriva stranu gateway-a.