Ako naplánovať adresný priestor pre VPN s viacerými lokalitami

Aká veľká má byť podsieť VPN, nemá odpoveď, kým nepomenujete, ktoré adresy počítate. V jednom návrhu sú to dva koncové body číslovaného tunelového spoja, v inom je to sieť LAN kancelárie za tunelom založeným na pravidlách a v treťom rezervovaná infraštruktúra spravovanej brány. Tri objekty, tri rozpočty a väčšina chýb v dimenzovaní vzniká tým, že sa jeden stĺpec vyplní číslom z iného.

Štyri úlohy, štyri rôzne otázky

Vonkajšia preprava je adresa, ku ktorej sa pripája peer, takže jej veľkosť sleduje vaše verejné adresovanie alebo adresovanie poskytovateľa, nikdy počet zariadení za ňou. Vnútorné tunelové spoje existujú len v návrhoch, ktoré číslujú virtuálne rozhranie, a tam počet sleduje susednosti topológie. Prefixy chránenej siete LAN sledujú skutočné siete a ich plán rastu. Infraštruktúra rezervovaná poskytovateľom sleduje to, čo dokumentuje spravovaná služba.

Len tretí z nich má nejaký vzťah k počtu notebookov v kancelárii. Práve tento zmätok vysvetľuje väčšinu sporov.

Pred otvorením kalkulačky napíšte štyri úlohy ako samostatné stĺpce. Každá dostane vlastnú alokáciu, vlastníka a predpoklad rastu a žiadna nededia veľkosť inej. Keď návrh nemá číslovaný vnútorný spoj, tento stĺpec je prázdny, nie malý, a prázdny stĺpec je fakt, ktorý stojí za zaznamenanie pre ďalšieho recenzenta.

Počítanie blokov: čo /30 skutočne stojí

Spoj bod-bod potrebuje dve adresy a spotrebuje blok, ktorého veľkosť závisí od platformy. /30 obsahuje štyri adresy, z ktorých dve sú zvyčajne použiteľné, takže dvanásť spojov spotrebuje v pláne štyridsať osem adries, pričom ponúka dvadsať štyri koncových bodov. /31 obsahuje dve adresy a obe sú použiteľné, čo znižuje aritmetiku na polovicu, ale len tam, kde to oba konce akceptujú.

RFC 3021 definuje model dvoch adries a podpora je vlastnosť koncových bodov a služby, nie dobrých úmyslov. API poskytovateľa môže na vnútornú tunelovú možnosť uvaliť vlastnú požiadavku na masku a všeobecný RFC neruší dokumentované obmedzenie. Overte, čo uvádza vaša platforma, skôr než zhrniete rozpočet, pretože rozdiel medzi štyridsiatimi ôsmimi a dvadsiatimi štyrmi adresami rozhoduje o tom, či sa plán vojde do rezervovaného rozsahu. Vypočítajte to, namiesto toho, aby ste tomu verili na konci dlhého dňa.

ipcalc -n 10.44.12.0/30
ipcalc -n 10.44.12.4/31

Násobte až po ustálení topológie. Dvanásť samostatných spojov a jedna viacbodová prekrývacia sieť s dvanástimi účastníkmi dávajú pri rovnakom počte lokalít veľmi odlišné súčty.

Podsieť spravovanej brány nie je klientský fond

Spravovaná služba často rezervuje podsieť pre vlastnú infraštruktúru brány a túto podsieť spotrebúva služba, namiesto toho, aby ju odovzdala klientom. Má dokumentovanú veľkosť, niekedy dokumentované meno a žiadny vzťah k tomu, koľko používateľov sa pripája. Ak sa s ňou zaobchádza ako s fondom adries pre vzdialené stroje, vznikne návrh, ktorý sa vyčerpá už prvé rušné ráno.

Čítajte požiadavku poskytovateľa ako fixný náklad, tak ako by ste zaobchádzali s rackovou jednotkou. Nie je súčasťou rozpočtu chráneného prefixu.

Rovnaké čítanie platí pre mená. Podsieť, ktorej dokumentovaným účelom je infraštruktúra brány, je v tejto službe infraštruktúrou podľa konvencie, a premenovanie, aby zapadla do vášho vlastného systému, rozbíja nasadenie namiesto toho, aby vylepšilo diagram. Zachovajte mená a veľkosti poskytovateľa a vlastnú schému číslovania minte na časti, ktoré ovládate.

Zdokumentujte plán, aby prežil druhú lokalitu

Plán, ktorý žije v hlave jedného inžiniera, zlyhá pri prvom prekrytí medzi prefixom kancelárie a predvoleným rozsahom domáceho routera. Zverejnite alokácie s ich vlastníkmi a uveďte, ktorý koniec každého spoja pridelí ktorú adresu. Trasy alebo selektory sa stále musia inzerovať, pretože očíslovanie vnútorného spoja samo o sebe sieť LAN nezverejní.

Zaznamenajte predpoklad rastu za každým blokom, pretože práve túto časť nedokáže žiadny neskorší čitateľ rekonštruovať iba z adries.

Potom plán otestujte na nepríjemných prípadoch: lokalita, ktorá príde s prefixom, ktorý už používate, spoj, ktorého vzdialený koniec spravuje niekto iný, a región, ktorého požiadavka poskytovateľa sa líši od prvej, ktorú ste zdokumentovali. Ak niektorý z nich vynúti prepracovanie, mali ste diagram, a nie pravidlo. Plán, ktorý ich prežije, je dosť krátky na to, aby ležal v repozitári vedľa konfigurácie tunela, a presne tam ho bude hľadať ďalší človek.